Ihr Kontakt
Lukas Bühlmann
In einem aktuellen Urteil des Bundesverwaltungsgerichts wird eine Marketing-Agentur verpflichtet, die bei ihr eingegangenen Auskunfts- und Löschungsbegehren betreffend weitergegebenen Adressdaten zu beantworten. Die Agentur befolgte eine entsprechende Empfehlung nicht hinreichend, woraufhin der EDÖB Klage beim Bundesverwaltungsgericht erhob. Das BVGer hat die Klage gutgeheissen und den Verwaltungsräten der Agentur die strafrechtliche Sanktionierung angedroht, falls die gerichtlichen Anordnungen nicht umgesetzt werden. Wie in diesem Blog bereits eingehend berichtet wurde, sollen mit der bevorstehenden Totalrevision des Datenschutzgesetzes (DSG) die Kompetenzen und die Stellung des EDÖB verstärkt werden. Vor diesem Hintergrund zeigt das Urteil des BVGer beispielhaft auf, dass bereits das geltende Datenschutzrecht zumindest in einem beschränkten Umfang zur Durchsetzung gelangt.
Ausgangslage
Stein des Anstosses waren unerwünschte Werbeschreiben an in Deutschland wohnhafte Privatpersonen. Wie sich herausstellte, hatte die werbende Firma ihre Adressdaten von einer Marketing-Agentur mit Sitz in der Schweiz bezogen. Die Betroffenen ersuchten daraufhin den EDÖB, sie bei ihrem datenschutzrechtlichen Vorgehen betreffend Auskunfts- und Löschungsbegehren gegen die einschlägige Marketing-Agentur zu unterstützen. Auf schriftliche Anfrage des EDÖB erteilte das Marketingunternehmen den betroffenen Personen jeweils Auskunft über die bearbeiteten Adressdaten und stellte deren Sperrung resp. deren Löschung in Aussicht. Gleichzeitig teilte es dem EDÖB mit, die internen Abläufe beschleunigt zu haben, um weitere Auskunfts- oder Löschungsbegehren künftig umgehend beantworten zu können.
In der Folge erhielt der EDÖB allerdings weitere gleichartige Meldungen und Begehren von betroffenen Personen aus Deutschland. Die Marketing-Agentur reagierte auf die erneuten Schreiben des EDÖB nicht, weshalb er dem Unternehmen gestützt auf Art. 29 Abs. 3 DSG eine Empfehlung erliess, die Begehren der betroffenen Parteien zu beantworten. Nachdem das Unternehmen auch nach der Empfehlung untätig blieb und weitere Meldungen eingingen, reichte der EDÖB beim BVGer Klage (Art. 29 Abs. 4 DSG) gegen die Marketing-Agentur ein. In seiner Klageschrift bringt der EDÖB vor, das Unternehmen habe von den zahlreichen eingegangenen Beschwerden und Begehren lediglich in den ersten gemeldeten Fällen reagiert; in den übrigen Fällen sei es hingegen untätig geblieben. Somit habe das Unternehmen seine Auskunftspflicht nach Art. 8 DSG sowie die Anforderungen an das Widerspruchsrecht nach Art. 12 Abs. 2 lit. b DSG nicht erfüllt.
Auskunftsrecht (Art. 8 DSG) und Widerspruchsrecht (Art. 12 DSG)
Gemäss Art. 8 DSG kann jede Person vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Dabei muss der Inhaber der Datensammlung der betroffenen Person alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten mitteilen (Art. 8 Abs. 2 lit. a DSG). Ausserdem hat der Betroffene das Recht zu erfahren, zu welchem Zweck und gegebenenfalls gestützt auf welche Rechtsgrundlagen die Datenbearbeitung erfolgt. Weiter ist die betroffene Person über die Kategorien der bearbeiteten Personendaten sowie die an der Sammlung Beteiligten und die Datenempfänger in Kenntnis zu setzen (Art. 8 Abs. 2 lit. b DSG).
Nach Art. 12 Abs. 1 und 2 lit. b DSG stellt die Datenbearbeitung gegen den ausdrücklichen Willen der betroffenen Person ohne Vorliegen eines Rechtfertigungsgrundes (vgl. Art. 13 DSG) eine Persönlichkeitsverletzung dar. Die betroffene Person kann das Bearbeiten von sie betreffenden Daten voraussetzungslos und ohne Nachweis eines besonderen Interesses verbieten (sog. Widerspruchsrecht). Kann sich ein Bearbeiter auf einen Rechtfertigungsgrund berufen, ist das ausgesprochene Verbot unbeachtlich. Da das Aufbewahren und Archivieren von Personendaten ebenfalls eine Form des Bearbeitens im Sinne von Art. 3 lit. e DSG darstellt, kann die betroffene Person auch in diesen Fällen ihr Widerspruchsrecht ausüben und die ganze oder teilweise Löschung ihrer Daten verlangen.
Unternehmen ist seinen datenschutzrechtlichen Pflichten nicht nachgekommen
Für das BVGer stand aufgrund der Aktenlage fest, dass die Marketing-Agentur in den vergangenen Jahren Adress- und damit Personendaten von in Deutschland wohnhaften Personen an Interessenten in Deutschland bekannt gab und diese Daten in der Folge zu Werbezwecken verwendet wurden. Da diese Bekanntgabe zur Geschäftstätigkeit des Unternehmens gehörte, ist nach Ansicht des BVGer davon auszugehen, eine solche Bekanntgabe sei regelmässig erfolgt und habe Adressdaten anderer Personen umfasst. Ausserdem geht das BVGer davon aus, der Bestand der Adressdaten sei nach betroffenen Personen erschliessbar, weshalb es das Unternehmen als Inhaberin einer Datensammlung erachtet (vgl. Art. 3 lit. g DSG).
Demnach wäre das Unternehmen in der Pflicht gewesen, den Auskunfts- und Löschungsbegehren der betroffenen Personen nachzukommen, was sie aber – abgesehen von den ersten gemeldeten Fällen – nicht getan hat. Angesichts dieses Verhaltensmusters ist das BVGer der Auffassung, dass das Unternehmen seine Auskunfts- und Löschungspflicht generell nicht wahrgenommen hat. Die Klage erwies sich demnach als begründet und wurde vom BVGer gutgeheissen: Das Unternehmen wurde verpflichtet sämtliche Auskunftsbegehren innert der gesetzlichen Frist von 30 Tagen (vgl. Art. 1 Abs. 4 der Datenschutzverordnung; VDSG) zu beantworten und die beantragten Löschungen von Personendaten – bei Nichtvorliegen eines Rechtfertigungsgrundes – vorzunehmen.
Datenschutzrecht wird – in beschränktem Umfang – bereits im bestehenden DSG durchgesetzt
Ende 2016 hat der Bundesrat den Entwurf zur Totalrevision des DSG in die Vernehmlassung geschickt. Über die Ziele und beabsichtigten Reformen der Totalrevision haben wir bereits ausführlich berichtet (BR-News vom 14. Februar 2017). In diesem Zusammenhang sollen gemäss Vorentwurf zum DSG (VE-DSG) die Kompetenzen des EDÖB künftig folgendermassen verstärkt werden:
- zusätzliche Untersuchungskompetenzen (Art. 41 VE-DSG)
- direkte Verfügungskompetenz (vgl. Art. 42 VE-DSG)
- keine Rechtsmittel mit aufschiebender Wirkung gegen vorsorgliche Massnahmen des EDÖB (Art. 44 Abs. 3 VE-DSG)
- hohe Bussen bei Nichtbeachtung der Verfügungen (Art. 50 Abs. 2 lit. f VE-DSG)
Angesichts dieser Vorschläge und der Reform des EU-Datenschutzrechts (vgl. dazu BR-News vom 14. Januar 2016) zeichnet sich ab, dass der EDÖB künftig über eine stärkere Stellung verfügen wird. Demzufolge dürften Kontrollen von Datenbearbeitungen seitens der Aufsichtsbehörden in Zukunft häufiger vorkommen.
Demgegenüber sind die Kompetenzen des EDÖB nach bestehendem Datenschutzrecht vergleichsweise beschränkt. Im vorliegenden Urteil konnte der EDÖB mittels Empfehlung und anschliessender Klage immerhin erreichen, dass den Auskunfts- und Löschungsrechten der Betroffenen Rechnung getragen wird. Den Mitgliedern des Verwaltungsrats der beklagten Marketing-Agentur drohen nun strafrechtliche Konsequenzen, wenn die Anordnungen des Gerichts nicht umgesetzt werden. Im Übrigen ist die vorsätzliche Verletzung der Auskunftspflicht aber ohnehin bereits strafbewehrt, wobei dies einen entsprechenden Antrag an die Strafverfolgungsbehörden voraussetzt (vgl. Art. 34 Abs. 1 lit. a DSG). Das aktuelle Urteil verdeutlicht nun aber immerhin, dass bereits das geltende Datenschutzrecht zumindest in beschränktem Umfang zur Durchsetzung gelangt.
Weitere Informationen:
