Fallstricke des datenschutzrechtlichen Auskunftsverweigerungsrechts

Wie gehe ich mit Auskunftsersuchen der Aufsichtsbehörden um? Dies ist vor dem Hintergrund der ersten Bußgeldentscheidungen des Landgerichts Bonn und des Landgerichts Berlin eine in der Praxis von Unternehmen häufig aufgeworfene Frage.

Aufgrund der nahezu flächendeckenden Erfassung aller Verpflichtungen der DSGVO im Bußgeldrecht (Art. 83 Abs. 4 und Abs. 5 DSGVO) birgt die unkritische Auskunft unter Umständen die Gefahr der Einleitung eines Bußgeldverfahrens. § 40 Abs. 4 S. 2 BDSG sieht – wie viele Verwaltungsrechtliche Vorschriften – vor, dass der Auskunftspflichtige die Auskunft auf solche Fragen verweigern kann, deren Beantwortung ihn oder einen seiner Angehörigen in die Gefahr strafrechtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Damit will der Gesetzgeber sicherstellen, dass der Betroffene schon im verwaltungsgerichtlichen Auskunftsverfahren sich nicht selbst belasten muss. Über die Reichweite und die Voraussetzungen einer möglichen Auskunftsverweigerung im Datenschutzrecht besteht allerdings bisher keine Klarheit.

Nun hat das OVG Schleswig (Beschluss vom 28.05.2021 – 4 MB 14/21) zum – in vielen Teilen umstrittenen – Auskunftsverweigerungsrecht im datenschutzrechtlichen Auskunftsverfahren eine Entscheidung getroffen. Zwar sind mit dieser Entscheidung längst nicht alle Fragen um das Auskunftsverweigerungsrecht geklärt. Für die Praxis bietet die Entscheidung jedoch eine erste Orientierung im Umgang mit Auskunftsersuchen der Datenschutzbehörden.

Entscheidung des 4. Senats des OVG Schleswig-Holstein

Zugetragen hatte sich Folgendes: Die Betreiberin eines Online-Versandes für Kosmetikprodukte war ins Visier der Datenschutzaufsicht geraten. Dort waren mehrere Beschwerden eingegangen, laut denen die Betreiberin des Online-Handels ohne Einwilligung die Namen der Betroffenen in Werbeansprachen verarbeitet haben soll. Die Datenschutzaufsicht forderte die Betreiberin daraufhin in einem Bescheid zur Auskunft darüber auf, von welchen Verantwortlichen und Auftragsverarbeitern sie Daten erhebe und zu Werbezwecken verarbeite, sowie welche persönlichen Daten von wie vielen Personen betroffen seien. Sie sollte jedoch auch Fragen darüber beantworten, ob und wie sie bestimmte bußgeldbewehrte Anforderungen aus der DSGVO einhalte.

Die Behörde wies die Betreiberin auch auf ihr Recht hin, die Auskunft gem. § 40 Abs. 4 S. 2 BDSG zu verweigern. Zugleich drohte sie ihr ein Zwangsgeld je unbeantworteter Frage an. Erst nachdem der Auskunftsbescheid bestandskräftig geworden war, sprich nach Ablauf der Rechtsbehelfsfrist, verweigerte die Betreiberin in einem Schreiben die Auskunft – ohne sich ausdrücklich auf das Auskunftsverweigerungsrecht aus § 40 Abs. 4 S. 2 BDSG zu berufen. Das ließ die Datenschutzbehörde nicht gelten und setzte ein Zwangsgeld je unbeantworteter Frage in Höhe von insgesamt 1.000 Euro fest.

Dagegen wehrte sich die Betreiberin mit einer Anfechtungsklage und einem Antrag auf Anordnung der aufschiebenden Wirkung der Klage im Eilrechtsschutz. Über den Antrag entschied das VG Schleswig, Beschluss vom 19.03.2021 – 8A 47/21 – gegen die Betreiberin. Gegen die Entscheidung des VG erhob sie sodann Beschwerde. Über die Beschwerde entschied nun das OVG SH folgendermaßen:

1. Auf das Auskunftsverweigerungsrecht gem. § 40 Abs. 4 S. 2 BDSG muss sich ausdrücklich berufen werden. Nur die Auskunft zu verweigern, genügt nicht.
2. Um sich auf das Auskunftsverweigerungsrecht berufen zu können, muss die Einleitung eines strafgerichtlichen Verfahrens oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten nach den konkreten Umständen des Einzelfalls ernsthaft möglich sein. Diese Möglichkeit muss auf dem Inhalt der Auskunft berufen. Sie muss daher Fragen zu Tatsachen betreffen, die die Einleitung oder Aufrechterhaltung eines solchen Verfahrens nach sich ziehen können. Das Gericht sagt selbst, dass darunter auch Tatsachen fallen können, die bloß mittelbar den Verdacht einer Straftat oder Ordnungswidrigkeit begründen oder stützen.
3. Kein Auskunftsverweigerungsrecht gem. § 40 Abs. 4 S. 2 BDSG besteht bezüglich Fragen, deren Beantwortung nicht ohne Weiteres einen Datenschutzverstoß erkennen lassen können. Als solche ordnet das OVG die Fragen ein, die darauf gerichtet waren, von welchen Verantwortlichen oder Auftragsverarbeitern die Betreiberin erhebt und verarbeitet sowie welche Daten von wie vielen Personen verarbeitet werden. Dass das Auskunftsverlangen auch für diese Fragen in Verbindung mit einer Datenschutzprüfung stand, reicht demnach nicht aus.
   Möglich ist ein Auskunftsverweigerungsrecht jedoch bei Fragen nach der Einhaltung bußgeldbewehrter Vorgaben.
4. Es ist nicht ausgeschlossen, dass sich auch juristische Personen auf den verfassungsrechtlichen Grundsatz der Selbstbelastungsfreiheit berufen können. Damit stellt das OVG zwar nicht ausdrücklich fest, dass dieser verfassungsrechtliche Grundsatz juristischen Personen zugutekommt. Jedenfalls positioniert es sich mit seiner Feststellung aber entgegen dem Bundesverfassungsgericht, das die verfassungsrechtliche Selbstbelastungsfreiheit für juristische Personen bislang abgelehnt hatte (BVerfG, Beschl. v. 26.02.1997 – 1 BVR 2172/96, NJW 1997, 1841).
5. Kern der Entscheidung ist die Frage, ob sich auch nach Bestandskraft des Auskunftsbescheids noch auf das Auskunftsverweigerungsrecht berufen werden kann. Die Frage ließ das Gericht im Ergebnis offen und beschränkt sich darauf hervorzuheben, dass in diesem Zusammenhang die besondere Schutzfunktion des § 40 Abs. 4 S. 2 BDSG zu berücksichtigen sei, der dem verfassungsrechtlichen Grundsatz der Selbstbelastungsfreiheit Rechnung trage. Ein Eingriff in diesen Grundsatz sei auch durch die Durchsetzung einer Auskunftspflicht mittels Verwaltungszwang möglich. Dies spreche dagegen, § 40 Abs. 4 S. 2 BDSG nur als materiell-rechtliche Einwendung bis zur Bestandskraft des Auskunftsbescheids zuzulassen (wie das VG zuvor entschieden hatte).
   

Folgen für die Praxis

Das Gericht erkennt an, dass für die Ausübung der Auskunftsverweigerung eine sichere Erwartung der Sanktionierung nicht notwendig ist. Gleichwohl wird auch festgestellt, dass nur die theoretische Möglichkeit einer Sanktion nicht ausreichend ist um dem Betroffenen ein Auskunftsrecht zu gewähren. Damit bewegt sich das Verwaltungsgericht anhand der Linie der bisherigen strafprozessual geprägten Rechtsprechung. Widersprüchlich bleibt das Gericht indes an einem anderen Punkt. Es betont, dass Tatsachen, die nur mittelbar dazu beitragen können, ein Ordnungswidrigkeiten Verfahren einzuleiten, für die Anerkennung eines Auskunftsverweigerungsrechts genügen. In der Anwendung verlässt es diese Linie und erkennt das Auskunftsverweigerungsrecht nur für Fragen an, die unmittelbar einen Verstoß gegen die DSGVO darstellen.

In der Sache selbst zieht das Gericht somit keine eindeutige, ja gar eine widersprüchliche, Linie. Da es sich allerdings um ein Eilverfahren handelte, musste das Gericht auch nicht über alle Punkte in aller Tiefe entscheiden. Gerade im Hinblick auf die Frage, ob das Auskunftsverweigerungsrecht auch nach Bestandskraft noch geltend gemacht werden kann, ist letztlich die Entscheidung in der Hauptsache abzuwarten. Dennoch bietet die Entscheidung Erkenntnisse, welche Fallstricke im Hinblick auf das Auskunftsverweigerungsrecht aus § 40 Abs. 4 S. 2 BDSG vermieden werden können:

Um das Auskunftsverweigerungsrecht wahrnehmen zu können, muss sich der Betroffene in jedem Fall – genauso wie in Strafverfahren – ausdrücklich darauf berufen. Nur keine Auskunft abzugeben oder – schlimmer noch – ganz zu schweigen, genügt nicht.

Festgestellt wird darüber hinaus, dass im Datenschutzrecht die Auskunft darüber hinaus nicht pauschal für alle Fragen verweigert werden kann. Für jede Frage ist vielmehr einzeln zu prüfen, ob das Auskunftsverweigerungsrecht besteht. Dabei kommt es darauf an, ob aus den Antworten ohne Weiteres auf einen Datenschutzverstoß geschlossen werden kann oder ob weitere Ermittlungen hierzu erforderlich sind. Sicher besteht das Auskunftsverweigerungsrecht demnach nur, soweit die Datenschutzbehörde gezielt nach der Einhaltung bußgeldbewährter Pflichten fragt. Im Ergebnis konzediert das Verwaltungsgericht nur in „Geständnisverweigerungsrecht“ und nicht (auch) ein „Auskunftsverweigerungsrecht“. Ob es dabei in Zukunft bleiben wird, wird abzuwarten sein.

Für Betroffene gilt, dass die Verteidigung gegen ein potentielles Bußgeldverfahren schon im Stadium einer solchen Auskunftsanfrage beginnt. Es muss daher im Einzelfall abgewogen werden, ob und wenn ja welche Fragen beantwortet werden. Der Betroffene sollte sich in jedem Fall klar sein, dass eine einmal gemachte Auskunft beweisrechtlich nicht mehr aus der Welt geschaffen werden kann.