Wie in unserem Beitrag der letzten Woche bereits angedroht, soll zumindest noch eine zweite Frage zu Art. 15 DS-GVO behandelt werden, die einige „Sprengkraft“ besitzt, trotzdem bisher in der Fachliteratur noch weitestgehend unberücksichtigt blieb:

Frage

Nachdem ein Verantwortlicher und eine betroffene Person lange über einen Auskunftsanspruch gestritten haben, hat man sich letztlich „glücklich“ geeinigt. Die betroffene Person erhält eine Auskunft sowie womöglich noch weitere Leistungen und verzichtet auf weitergehende Ansprüche. Ist ein solcher Verzicht überhaupt rechtswirksam oder kann die betroffene Person zwei Tage später einen neuen Auskunftsanspruch erheben?

Antwort: Bekanntlich erfreut sich das Auskunftsrecht nach Art. 15 DS-GVO momentan und schon seit einigen Jahren großer Beliebtheit, wenn Beschäftigte – meist nach Beendigung des Arbeitsverhältnisses – mit dem früheren Arbeitgeber, gleichgültig, ob Behörde oder Unternehmen, im Streit liegen und juristische Möglichkeiten suchen, die eigene Position zu verbessern. Der Auskunftsanspruch eignet sich dafür auf den ersten Blick sehr gut:

– Der Arbeitgeber ist zum Handeln gezwungen, ob er will oder nicht.
– Kosten dürfen dem Arbeitnehmer prinzipiell nicht berechnet werden.
– Für die Auskunftspflichten ist eine (Monats-)Frist gesetzt, die der Arbeitgeber zwar mit Begründung, aber nicht „unendlich“ verlängern kann.
– Bei Untätigkeit des Arbeitgebers ist die/der frühere Beschäftigte nicht auf ein Gerichtsverfahren angewiesen, das wiederum Kosten verursachen könnte, sondern kann auch für den Arbeitgeber unangenehme Beschwerde bei der Datenschutz-Aufsichtsbehörde führen.
– Der Arbeitgeber kann nicht „mit gleicher Münze“ antworten, weil ein Auskunftsanspruch zu seinen Gunsten nicht besteht.

Die arbeitsgerichtlichen Entscheidungen in erster und zweiter Instanz zu Art. 15 DS-GVO sind mittlerweile kaum noch überschaubar. Anfangs sorgte vor allem ein Urteil des LAG Baden-Württemberg für Furore (Urt. v. 20.12.2018, Az. 17 Sa 11/18). Der Arbeitgeber hatte dort ein in der Berufungsinstanz erhobenes Auskunftsbegehren des Arbeitnehmers nicht ausreichend ernst genommen und pauschal die Auskunft mit Verweis auf nötige Geheimhaltung abgelehnt. Das LAG verurteilte den Arbeitgeber umfassend zur Auskunft sowie Herausgabe einer entsprechenden Kopie. Das Revisionsverfahren beim Bundesarbeitsgericht endete durch Einigung zwischen den Parteien, also ohne Urteil des BAG. Diese sehr frühe Entscheidung zur DS-GVO (noch im Dezember 2018) hat den Blick vieler Arbeitsrechtler auf Art. 15 DS-GVO gelenkt und dafür gesorgt, dass die Auskunftsansprüche fortan häufiger z.B. in Kündigungsschutzverfahren auftauchten. Inzwischen geht die Tendenz der Arbeits- und Landesarbeitsgerichte (wenn man eine allgemeine Tendenz überhaupt feststellen kann) dahin, den Auskunftsanspruch mit verschiedensten Begründungen einzugrenzen. Juristisch sind diese Versuche oft wenig überzeugend und wirken gekünstelt, weil der (europarechtlich, also nationale Normen verdrängende) Art. 15 DS-GVO tatsächlich nach seinem Wortlaut sehr weitgehende Forderungen erlaubt.

Letztlich wird – wie immer bei der Auslegung von EU-Recht – der Europäische Gerichtshof entscheiden. Bisher hatte er dazu aber keine Gelegenheit, weil die deutschen Arbeitsgerichte Rechtsfragen zu Art. 15 DS-GVO nicht dem EuGH vorlegen, sondern selbst entscheiden.

Arbeitgeberseits liegt die Idee nahe, Rechtsunsicherheit durch Einigungen („Vergleichsabschlüsse“) zu beseitigen. Den Arbeitnehmern als „betroffenen Personen“ wird der Auskunftsanspruch gelegentlich „abgekauft“. Dabei stellt sich jedoch – bei etwas genauerem Hinsehen – die Frage: Funktioniert das? Und zwar rechtssicher? Beim Auskunftsanspruch nach Art. 15 DS-GVO handelt es sich um zwingendes Recht, also eine Rechtsposition, die die betroffene Person jedenfalls für die Zukunft nicht aufgeben kann. Wäre es anders, würden betroffene Personen landauf und landab von den Verantwortlichen gebeten, entsprechende Verzichtserklärungen zu unterschreiben.

In der Fachliteratur wird – soweit man das Thema erörtert – meist auf das Verbot missbräuchlichen und widersprüchlichen Verhaltens verwiesen. Diese Überlegung trägt aber nicht sicher: Wenn man wegen des zwingenden Charakters der Betroffenenrechte einen Rechtsverzicht ausschließt und für unwirksam hält, kann man betroffenen Personen kaum verweigern, dass sie sich auf diese Unwirksamkeit ihres Verzichts dann berufen und wieder Auskunft verlangen.

Eine Kontrollüberlegung führt in das nationale Mindestlohngesetz (MiLoG): Auch der Verzicht auf Mindestlohnansprüche ist gesetzlich ausgeschlossen. In § 3 Satz 2 MiLoG wird davon ausdrücklich nur der Verzicht auf entstandene Ansprüche und auch nur „durch gerichtlichen Vergleich“ ausgenommen. Mit anderen Worten: Auch wenn Arbeitnehmer ausdrücklich auf Mindestlohnansprüche verzichten, ist dies unwirksam, außer dies geschieht durch gerichtlichen Vergleich und bezogen auf Ansprüche der Vergangenheit. Nun mag man versucht sein, dies auf Art. 15 DS-GVO zu übertragen. Nur: Die Ausnahme (Wirksamkeit eines Verzichts in einem gerichtlichen Vergleich) findet sich nicht im Gesetzestext. Ob der EuGH sie in die DS-GVO „hineinliest““, bleibt abzuwarten.

FAZIT

Momentan könnte eine praktische Empfehlung lauten: Verzichtserklärungen sollten jedenfalls ausdrücklich auf die Vergangenheit, d.h. auf Datenverarbeitungen bis zum Tag der Einigung, begrenzt werden. Weitergehende Verzichte auch für die Zukunft haben keine Wirksamkeits-Chance. Außerdem sollte zusätzlich festgeschrieben werden, dass betroffene Person und verantwortliche Stelle (Arbeitnehmer und Arbeitgeber) einig darüber sind, dass alle rechtlich geschuldeten Auskünfte bis zum Tag der Einigung einwandfrei und vollständig erteilt wurden. Eine solche Verständigung darüber, dass Ansprüche für die Vergangenheit erfüllt sind, ist juristisch nicht dasselbe wie ein Verzicht. Man bestätigt ja nicht, dass man etwas nicht haben will, sondern dass man es ausreichender Art und Weise bereits erhalten hat. Ähnlich wird im Arbeitsrecht z.B. mit Urlaubsansprüchen verfahren, wenn anstelle des – gesetzlich unzulässigen – Urlaubsverzichts die Beteiligten gemeinsam festhalten, dass der Urlaub vollständig in Natur gewährt wurde. Auch das Steuerrecht kennt entsprechendes Vorgehen bei der sogenannten „tatsächlichen Verständigung“: Die Finanzämter dürfen sich mit Steuerpflichtigen nicht über Rechtsfragen „vergleichen“, sich aber bei strittigen Fragen mit ihnen über den Sachverhalt „verständigen“.

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz, Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) sowie Mitglied des Ausschusses für Datenschutzrecht der Bundesrechtsanwaltskammer (BRAK). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Am 24. November 2021 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz – kurz: DSK) gegen die Stimme Sachsens einen Beschluss zur Möglichkeit der Nichtanwendung technischer und organisatorischer Maßnahmen nach Art. 32 DS-GVO auf ausdrücklichen Wunsch betroffener Personen gefasst. Der Inhalt des Beschlusses sowie seine möglichen Auswirkungen für die Praxis sollen im nachstehenden Beitrag näher erörtert werden.

WAS BEINHALTET DER BESCHLUSS?

Durch Ziff. 1 folgt direkt die erste diskussionswürdige Aussage: „Die vom Verantwortlichen nach Art. 32 DSGVO vorzuhaltenden technischen und organisatorischen Maßnahmen beruhen auf objektiven Rechtspflichten, die nicht zur Disposition der Beteiligten stehen.“ So weit so gut. Die zentrale Frage, welche hier aufgeworfen werden muss ist, warum die DSK davon ausgeht, dass es sich bei Art. 32 DS-GVO um eine „objektive Rechtspflicht“ handelt. Unter den Terminus objektives Recht sind gemeinhin alle Rechtsvorschriften eines Rechtsstaates in ihrer Gesamtheit zu fassen. Vom objektiven Recht ist das subjektive Recht abzugrenzen, welches den Anspruch bzw. ein sonstiges Recht eines jeden Einzelnen beschreibt. Sofern die DSK in Bezug auf Art. 32 DS-GVO nunmehr eine objektive Rechtspflicht annimmt, verwundert dies mit Blick auf Art. 8 Charta der Grundrechte der Europäischen Union (GRCh) sowie Art. 1 DS-GVO doch sehr. Ausweislich des Art. 1 Abs. 2 DS-GVO werden „die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten“ zu Regelungsgegenstand der Datenschutz-Grundverordnung erklärt. Primäres Schutzgut ist also das Grundrecht auf Datenschutz nach Art. 8 GRCh. Nichts anderes gilt im Hinblick auf Art. 32 DS-GVO. Der Zweck dieser Vorschrift ist die Unterstützung und Durchsetzung der in der Datenschutz-Grundverordnung geregelten Vorschriften durch technische und organisatorische Maßnahmen. Die Norm ist in erster Linie auf den Schutz der Rechte und Freiheiten der von der Datenverarbeitung betroffenen Person gerichtet und fungiert insoweit als Ausgestaltung der Grundsätze von Integrität und Vertraulichkeit aus Art. 5 Abs. 1 lit. f) DS-GVO. Das Grundrecht auf den Schutz personenbezogener Daten in seiner Gänze und mithin auch Art. 32 DS-GVO müssen bereits nach dem grundlegenden Verständnis zur Disposition des Grundrechtsträgers, also der betroffenen Person stehen. Es muss der betroffenen Person also auch unbenommen sein, in alle Umstände der Verarbeitungen ihrer personenbezogenen Daten einzuwilligen, sei es die Frage des „Ob“ oder des „Wie“ der Verarbeitung, auch vor dem Hintergrund, dass die Erklärungen möglicherweise als nachteilig oder schädlich für die betroffene Person selbst wahrgenommen werden. Es wird in diesem Zusammenhang vermutlich stets auf den Grad an Informiertheit im Vorfeld der Abgabe der Erklärung abzustellen sein.

Weiter wird in Ziff. 2 wie folgt festgesetzt: „Ein Verzicht auf die vom Verantwortlichen vorzuhaltenden technischen und organisatorischen Maßnahmen oder die Absenkung des gesetzlich vorgeschriebenen Standards auf der Basis einer Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO ist nicht zulässig.“ Mit Blick auf Ziff. 1 des Beschlusses sind die vorstehenden Ausführungen nahezu stringent. Nichts desto trotz verwundert diese Gesamtschau. Hatte sich doch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmdBfDI) in einem Aktenvermerk ursprünglich anders in dieser Thematik positioniert. Wir haben dazu bereits berichtet. Nunmehr schließt die DSK die Möglichkeit einer Einwilligungserklärung zum Verzicht bzw. zu Absenkung des vorzuhaltenden Standards der Sicherheit der Verarbeitung nach allem Anschein nach kategorisch aus.

Nach dem zuvor Gesagten erfahren diese Grundsätze in Ziff. 3 anschließend dann doch eine Ausnahme: „Unter Beachtung des Selbstbestimmungsrechts der betroffenen Person und der Rechte weiterer betroffener Personen kann es in zu dokumentierenden Einzelfällen möglich sein, dass der Verantwortliche auf ausdrücklichen, eigeninitiativen Wunsch der informierten betroffenen Person bestimmte vorzuhaltende technische und organisatorische Maßnahmen ihr gegenüber in vertretbarem Umfang nicht anwendet.“ Mit Blick auf die Ziffern 1 und 2 des Beschlusses sind die Kernaussagen der Ziff. 3 doch sehr verwunderlich. Nachdem vorab starr ein Ausschluss der Möglichkeit des Abbedingens oder Absenkens des Schutzniveaus bekundet wird, erfolgt anschließend doch eine „Rolle rückwärts“ und die DSK lässt unter strengen Voraussetzungen Ausnahmen zu. Hier bleiben bei genauer Betrachtung der Voraussetzungen allerdings viele Fragen offen. Einzig zutreffend dürfte der Hinweis auf die Beachtung des Selbstbestimmungsrechts der betroffenen Person sein. Fraglich ist hingegen, wann es zu dokumentierenden Einzelfällen (eine zahlenmäßige Beschränkung gleich welcher Art scheint dogmatisch nicht vertretbar) kommt und welche Anforderungen an einen ausdrücklichen, eigeninitativen Wunsch der informierten betroffenen Person zu stellen sein wird.

Die Ziff. 4 des Beschlusses kommt letztendlich nahezu unspektakulär daher, da es insoweit nur heißt: „Kapitel V der DSGVO (Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen) bleibt hiervon unberührt.“ Dies dürfte insoweit nicht zu beanstanden sein und wird daher nicht weiter vertieft.

WIE GEHT ES NUN WEITER?

Der HmdBfDI hat in Reaktion auf den Beschluss der DSK seinen eigenen Aktenvermerk überarbeitet. Nach Ansicht der Aufsichtsbehörde ist – dies ist insoweit auch mit den Ausführungen in dem Beschluss übereinstimmend – ein Verzicht der betroffenen Person auf die Anwendung von technischen und organisatorischen Maßnahmen möglich. Hierfür ist erforderlich, dass Verantwortliche die nach Art. 32 DS-GVO erforderlichen Maßnahmen überhaupt bereit hält und dass die Verzichtserklärung der betroffenen Person den Anforderungen des Art. 7 DSGVO analog genügt. In Bezug auf die Verzichtserklärung führt der HmdBfDI aus: „Die DSGVO enthält mit Art. 7 DSGVO grundsätzliche Maßstäbe zur Beurteilung, wie eine Einwilligung der betroffenen Person zu gestalten ist. Diese beziehen sich zwar unmittelbar nur auf das „Ob“ der Verarbeitung, sind jedoch entsprechend auch auf das „Wie“ anzuwenden. Der Verzicht auf die technische Umsetzung („Wie“) einer Verarbeitung ist sinnvollerweise nach denselben Maßstäben zu beurteilen, wie die Frage, ob die Verarbeitung nach Art. 6 DSGVO zulässig ist („Ob“).“ Weiter heißt es: „Eigeninitiativ bedeutet dabei, dass die betroffene Person an den Verantwortlichen mit einem entsprechenden Wunsch herantreten muss. Dies setzt ein aktives Handeln der betroffenen Person voraus. Ein solches aktives Handeln kann eine mündliche oder schriftliche Bitte sein, aber auch das Anklicken eines entsprechenden Auswahlfeldes in einem (Online-)Formular. Ein eigeninitiatives Handeln liegt allerdings nicht vor, wenn die betroffene Person ohne ein eigenes Zutun auf die Anwendung von TOM „verzichtet“, etwa indem sie ein Online-Formular abschickt, bei welchem ein entsprechendes Feld („ich verzichte auf eine verschlüsselte elektronische Kommunikation“) bereits vorausgewählt ist.“

Für die Praxis ergibt sich nach den Ausführungen des HmdBfDI demnach die Erforderlichkeit der Gestaltung einer Verzichtserklärung in der Gestalt bzw. unter den Voraussetzungen einer Einwilligungserklärung, aber eben nicht als solche deklariert. Insbesondere hinsichtlich der Anforderungen an die Freiwilligkeit, Bestimmtheit und Informiertheit der Verzichtserklärung dürften diese als im Einklang mit der Datenschutz-Grundverordnung zu sehen sein, da auf den ersten Blick insoweit keine strengeren Anforderungen aufgestellt werden. Inwieweit die Anforderungen an den eigeninitativen Wunsch der betroffenen Person über die Anforderungen der DS-GVO hinaus gehen oder letztendlich „nur“ eine Umformulierung hinsichtlich der Betätigung des freien Willens ist, wird noch zu erörtern und mit Sicherheit Gegenstand zahlreicher Diskussion sein. Mit Blick auf die oben dargestellten Schutzsphäre des Grundrechtes auf Datenschutz aus Art. 8 GRCh muss ein mögliches Aufstellen strengerer Anforderungen an die Ausübung bzw. Sicherung der Rechtsposition des Grundrechtsträgers dann logischerweise trefflich in Frage gestellt werden.

FAZIT

Die zentrale Problematik des Beschlusses zeigt sich in der Praxis typischerweise anhand der (E-Mail-)Verschlüsselung. In den zu betrachtenden Fällen ergibt eine Abwägung nach Art. 32 DS-GVO – auch im Hinblick auf die von der DSK in der Orientierungshilfe Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail festgelegten Grundsätze – allzu häufig, dass eine Ende-zu-Ende-Verschlüsselung geboten ist. Dies führt nicht zuletzt vermehrt bei den Gruppen der Berufsgeheimnisträgern selbst unter dem Gesichtspunkt, dass die datenschutzrechtlichen Verantwortlichen die erforderlichen entsprechende technische und organisatorische Maßnahmen in Form von Verschlüsselungstechnologien vorhalten, immer wieder zu Nutzerakzeptanzproblemen seitens der betroffenen Personen. Insofern wäre eine vertiefte Auseinandersetzung mit der Problematik seitens der DSK wünschenswert gewesen. Allerdings ist ein Beschluss nun einmal nur ein Beschluss und muss nicht weitergehend begründet werden. Unter Bezugnahme auf die Selbstbestimmtheit der betroffenen Personen erscheint es allerdings nahezu zwingend, dass zu den dispositiven Bestimmungen eben auch jene über die Sicherheit der Verarbeitung zählt. Ob es dafür eines dogmatischen Umweges über eine Verzichtserklärung bedarf oder doch der Gang über eine Einwilligung möglich ist, wird zu beobachten sein. Letztendlich bedarf es in dieser Sache vermutlich einer Klärung durch die Rechtsprechung.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.