Betroffene können Behörde nicht zum Einschreiten zwingen

Die DSGVO ist schon seit der ersten Stunde in aller Munde. Eine so umfangreiche Verordnung macht jedoch nur Sinn, wenn sie befolgt wird, denn sonst nützen die angedrohten Bußgelder in Millionenhöhe gar nichts. Ob Verstöße von Verbraucherverbänden oder Wettbewerbern verfolgt werden können, ist noch offen. Auch bei den Behörden hat sich bis auf ein paar einzelne Bußgelder noch nicht viel getan. Ein deutsches Gerichtsurteil könnte die Behörden nun ebenfalls weiter entlasten.

Zunächst ist einmal festzuhalten, dass die Aufsichtsbehörden Verstöße gegen die DSGVO ahnden können. Hierzu haben sie einen bunten Blumenstrauß an Befugnissen, die sie bei ihren Untersuchungen und Sanktionen einsetzen können. Dazu gehören Auskunftsrechte, nach denen die Verantwortlichen zunächst einmal alle Informationen bereitzustellen haben. Außerdem können die Behörden Datenschutzüberprüfungen vornehmen. Wie sieht es aber aus, wenn es gar keinen Grund zum Einschreiten gibt und der Betroffene aber darauf besteht?

Kein Anspruch auf Einschreiten… und schon gar nicht auf bestimmte Maßnahmen

Die Aufsichtsbehörde müsse nur einschreiten, wenn ein Datenschutzrechtsverstoß naheliegt bzw. sich aufdrängen muss, d.h. es müssen Tatsachen vorliegen, die einen Verstoß gegen datenschutzrechtliche Vorschriften als wahrscheinlich erscheinen lassen und wenn dieser Verstoß so schwer ist, dass ein Einschreiten der Aufsichtsbehörde erforderlich wäre (Verwaltungsgerichts Ansbach, Urteil vom 08.08.2019, Az. AN 14 K 19.00272). Der Betroffene habe aber selbst bei Vorliegen eines festgestellten oder wahrscheinlichen Verstoßes gegen die DSGVO keinen Anspruch auf bestimmte aufsichtsrechtliche Maßnahmen (hier gegen die Kreissparkasse).

Warum kam es überhaupt zu dem Streit? Ein Kunde bat die Kreissparkasse mehrfach, ihm seine bei ihr verarbeiteten personenbezogenen Daten von ihm zu übermitteln. Dies tat die Sparkasse zwar, der Kunde hielt die übermittelten Daten aber nicht für vollständig. Das Bayerische Landesamt teilte mit, dass gegen die Kreissparkasse keine Maßnahmen ergriffen würden, weil kein Datenschutzverstoß vorliege. Weitergehende Ansprüche gegen die Sparkasse auf Auskunftserteilung müsse der Kläger vor den Zivilgerichten verfolgen. Das Gericht folgte dieser Einschätzung.