Das 3. Kapitel der DSGVO kodifiziert die Rechte der von einer Datenverarbeitung betroffenen Personen. Innerhalb dieses Kapitels findet sich eine mannigfaltige Auswahl an Rechten. Mit der Frage ob jene Rechte abschließend sind oder nicht, befasste sich das VG Regensburg mit einer aktuellen Entscheidung.
Ein kurzer Überblick
Zunächst soll ein allgemeiner Blick auf das 3. Kapitel geworfen werden.
Abschnitt I
Art. 12 DSGVO
Art. 12 beinhaltet Transparenzvorgaben und Verfahrensregelungen zur Ausübung der Betroffenenrechte. Somit kodifiziert Art. 12 DSGVO so etwas wie einen „Allgemeinen Teil“.
Abschnitt II
Im Rahmen von Abschnitt II statuiert Art. 15 DSGVO ein Auskunftsrecht des Betroffenen. Konkret kann der Betroffene nach Art. 15 Abs. 1 Hs. 1 DSGVO eine Bestätigung darüber verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Im Falle der Verarbeitung statuiert Art. 15 Abs. 1 Hs. 2 DSGVO einen Anspruch auf Auskunft über diese und weitere Daten. Im Falle der Übermittlung von Daten an ein Drittland oder eine Internationale Organisation eröffnet Art. 15 Abs. 2 DSGVO das Recht auf Unterrichtung.
Abschnitt III
Art. 16 DSGVO
Nach Art. 16 S.1 DSGVO steht dem Betroffenen auch die Möglichkeit zu Daten berichtigen zu lassen. Nach S. 2 gehört dazu auch die Vervollständigung der Daten.
Art. 17 DSGVO
Art. 17 DSGVO beinhaltet das sogenannte „Recht auf Vergessen werden“, das Recht auf Löschung. Das „Recht auf Vergessen werden“ war bereits Inhalt wichtiger Entscheidungen (Recht auf Vergessen I – BVerfG, Beschluss des Ersten Senats vom 06. November 2019 – 1 BvR 16/13 -, Rn. 1-157; Recht auf Vergessen II – BVerfG, Beschluss des Ersten Senats vom 06. November 2019 – 1 BvR 276/17 -, Rn. 1-142). Hierauf soll nicht genauer eingegangen werden.
Art. 17 Abs. 1 DSGVO enthält einen Katalog an Gründen, bei deren Vorliegen der Betroffene eine Löschung verlangen kann, respektive der Verantwortliche dazu verpflichtet ist. Während Abs. 2 die Pflichten des Verantwortlichen bei öffentlichen Daten erweitert, gibt Art. 3 Ausnahmetatbestände vor.
Art. 18 DSGVO
Ein Recht auf Einschränkung der Verarbeitung enthält Art. 18 DSGVO. Während Abs. 1 den Tatbestand eines solchen Rechts normiert, hat Abs. 2 die Folgen einer Einschränkung der Verarbeitung der Daten zum Inhalt.
Art. 20 DSGVO
Art. 20 enthält das Recht auf Datenübertragbarkeit. Das bedeutet zum einen das Recht auf Erhalt der Daten und zum anderen das Recht auf Übermittlung dieser erhaltenen Daten an einen anderen Verantwortlichen.
Abschnitt IV
Art. 21 DSGVO
Entspricht eine Verarbeitung nicht dem Willen des Betroffenen, so vermittelt Art. 21 DSGVO das Recht der Verarbeitung zu widersprechen. Jedoch ist das Widerspruchsrecht begrenzt auf Fälle des Art. 6 Abs. 1 lit. e und lit. f DSGVO, also nur bei Verarbeitungen, die zur Wahrnehmung öffentlicher Interessen dient oder zur Wahrung berechtigter Interessen des Verantwortlichen bzw. eines Dritten erforderlich sind. Abs. 2 und 3 enthalten jeweils zusätzliche Erweiterungen des Anwendungsbereichs. Fraglich ist, ob das Widerspruchsrecht der Sanktionierung begangenen Unrecht dient bzw. zur Abwehr künftiger Rechtsverletzungen herangezogen werden kann. Dafür könnte ein „Erst-Recht-Schluss“ sprechen. Dagegen könnten die Art. 77 ff. DSGVO sprechen. Da das Widerspruchsrecht sowieso kein generelles ist, ist dieser Streitstand wohl nicht von allzu großer Bedeutung.
Abschnitt V
Art. 23 DSGVO
Durch Art. 23 DSGVO haben die Mitgliedsstaaten die Möglichkeit durch Rechtsvorschriften Rechte und Pflichten, die sich aus dem Transparenzprinzip, einzuschränken oder vorhandene Beschränkungen beizubehalten.
Was fehlt?
Auffällig ist, dass ein Recht auf Unterlassen fehlt. In der Tat ist ein Unterlassungsanspruch in der DSGVO nicht ausdrücklich geregelt. Diese vermeintliche Lücke könnte mit bereits vorhandenen Rechtsinstituten geschlossen werden.
(Quasi)-Negatorischer Unterlassungs- und Beseitigungsanspruch
Im Studium gehört er zum absoluten Standardrepertoire, der Beseitigungs- bzw. Unterlassungsanspruch nach §1004 BGB. §1004 Abs. 1 BGB schützt das Rechtsgut Eigentum vor Störungen und beinhaltet zwei Anspruchsgrundlagen: S. 1 kodifiziert einen Beseitigungs- und S. 2 einen Unterlassungsanspruch. Für sonstige absolute Rechte gibt es keinen derart geregelten Unterlassungsanspruch. Dies hätte zur Konsequenz, dass diese absoluten Rechte und auch deliktisch geschützten Rechtsgüter nur für den Fall der Verletzung von einem Schadensersatzanspruch geschützt sind, aber eine Abwehr der Beeinträchtigung im Voraus nicht verlangt werden kann. In anderen Worten müsste also zunächst eine Verletzung des sonstigen Rechts geduldet werden und erst im Nachhinein Ersatzansprüche geltend machen werden. Sogar für den juristischen Laien ist klar: Dies kann vom Gesetzgeber nicht gewollt sein. Die Lösung ist eine von der Rechtsprechung entwickelte analoge Anwendung des § 1004Abs. 1 S. 2 BGB in Verbindung mit einer schutzgewährenden Norm. Geht es um das Unterlassen bzw. die Beseitigung einer Beeinträchtigung bezüglich der Rechtsgüter Leben, Körper, Gesundheit, Freiheit, Eigentum, so spricht man von einem negatorischen Anspruch. Geht es um sonstige absolute Recht, ist von einem quasinegatorischen Anspruch die Rede.
Datenschutz und Allgemeines Persönlichkeitsrecht (APR)
Das Allgemeine Persönlichkeitsrecht nach Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG umfasst sachlich die private Lebensgestaltung, in der jeder Mensch die Möglichkeit zur persönlichen Lebensführung, Entwicklung und Wahrung seiner persönlichen Individualität hat. Teil des APR ist das Recht auf Informationelle Selbstbestimmung. Über Informationen selbst zu bestimmen bedeutet auch selbst über Verwendung personenbezogener Daten zu entscheiden. Als Grundrecht mit offenen Schutzbereich wurde das APR weiterentwickelt und gewährleistet nun auch Vertraulichkeit und Integrität informationstechnischer Systeme. Somit ergeben sich etliche Konstellationen, in denen Eingriffe in das APR und der DSGVO deckungsgleich sind. Da das APR ein Sonstiges Recht i.S.d. §823 BGB ist, könnte also ein quasinegatorischer Unterlassungs- bzw. Beseitigungsanspruch nach §1004 Abs. 1 BGB analog in Betracht kommen.
Keine Lücke für einen quasinegatorischen Beseitigungsanspruch
Zunächst lässt sie die Notwendigkeit eines quasinegatorischen Beseitigungsanspruch nach §1004 Abs. 1 S. 1 BGB analog gegenüber einem Verantwortlichen verneinen. Ein Anspruch auf Beseitigung ist in diesem Fall identisch mit dem „Recht auf Vergessen“ aus Art. 17 DSGVO. Somit liegt keine, für eine Analogie notwendige, Regelungslücke vor.
VG Regensburg und der quasinegatorischer Unterlassungsanspruch
Bleibt nun die Frage wie es sich mit einem quasinegatorischen Unterlassungsanspruch nach §1004 BGB Abs. 1 S. 2 BGB analog verhält. Ein solcher könnte aus dem Wortlaut des Art. 79 DSGVO abgeleitet werden. Art. 79 Abs. 1 lautet:
„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“
Art. 79 I DSGVO könnte eine Rechtsschutzgarantie statuieren. Dem Betroffen müsste also im Falle der rechtswidrigen Verarbeitung seiner Daten gerichtlicher Rechtsschutz unmittelbar gegen den Verantwortlichen oder Auftragsverarbeiter zustehen. Da die DSGVO einen solchen Anspruch wie erwähnt nicht beinhaltet, könnte sich ein solcher Anspruch des Betroffenen weiterhin nach dem quasinegatorischen Unterlassungsanspruch gemäß §1004 Abs. 1 S. 2 BGB analog ergeben, so zumindest der Wissenschaftliche Dienst des Bundestages (WD 7 – 3000 – 116/18, Abmahnungen im Datenschutzrecht, 2018).
Fraglich ist, ob sich diese Argumentation wirklich mit dem Wortlaut deckt. Ein Rechtsbehelf ist ein in einem Verfahren rechtlich zugelassenes Gesuch, mit dem eine behördliche oder gerichtliche Entscheidung angefochten werden darf, damit diese aufgehoben oder geändert wird. Damit kann also kein materiell-rechtlicher Anspruch per se aus Art. 79 DSGVO abgeleitet werden. Es geht um den Zugang zum Gericht. Nach dem Wortlaut bleiben nur andere verwaltungsrechtliche oder außergerichtliche Rechtsbehelfe „unbeschadet“, nicht aber gerichtliche Rechtsbehelfe, wenn die betroffene Person der Ansicht ist, dass sie in Rechten aufgrund dieser Verordnung, sprich der DSGVO, verletzt ist. Wie ausführlich dargestellt finden sich die Rechte der betroffenen Personen in Kapitel 3 der DSGVO. Jenseits der oben genannten Normen gewährt die DSGVO keine Rechte, zu deren Durchsetzung ein wirksamer Rechtsbehelf nach Art. 79 DSGVO zur Verfügung gestellt werden muss. Da ein Anspruch auf Unterlassen nicht vorgesehen ist, stützt Art. 79 DSGVO auch keinen Rechtsbehelf in Form einer Allgemeinen Leistungsklage auf Unterlassen nach §1004 Abs. 1 S. 2 BGB analog.
Ausblick
Ob die Entscheidung bzw. Entscheidungen in Anbetracht von Art. 19 IV S. 1 GG Bestand haben wird, könnte durchaus spannend werden. Der Betroffene wird natürlich nicht rechtlos gestellt. Es bleibt die Möglichkeit der Beschwerde an die Aufsichtsbehörde. Diese hat nach Art. 58 DSGVO jederzeit die Möglichkeit eine rechtswidrige Datenverarbeitung zu unterbinden. Natürlich bleibt auch die Möglichkeit der Unterlassungsklage über das APR, in Fällen, in denen nicht um personenbezogene Daten geht.
Herleitung eines Unterlassungsanspruchs aus Art. 17 DSGVO?
Fazit: Ein Unterlassungsanspruch lässt sich weder direkt aus der DSGVO noch aus einem quasinegatorischen Unterlassungsanspruch nach §1004 BGB Abs. 1 S. 2 BGB analog ableiten. Einen weiteren Ansatzpunkt könnte jedoch eine (analoge) Anwendung von Art. 17 DSGVO darstellen. Zwar beinhaltet dieser das Recht auf Löschung. Jedoch erwähnt Erwägungsgrund 65 zum Erlass der DSGVO, dass die betroffene Person im Rahmen des Rechts auf Vergessen einen Anspruch hat, dass ihre Daten gelöscht werden und nicht mehr verarbeitet werden. Letzteres stellt im Prinzip Existenz Unterlassungsanspruchs dar. Dagegen spricht jedoch der Wortlaut der Norm, der vom „Löschen“ spricht. Zwar könnte eine Analogie herangezogen werden, jedoch ist ein Löschvorgang ist irreversibel. Nach diesem bleiben keine Daten mehr übrig und so verliert auch eine Unterlassungsklage ihren Sinn und Zweck und ebenso eine analoge Anwendung.
Weitere Entscheidungen
Eine Reihe von lesenswerten Entscheidungen bezüglich der Herleitung aus Art. 17 DSGVO finden Sie hier:
- OLG Frankfurt, Urteil vom 06.09.2018 (Az.: 16 U 193/17)
- LG Frankfurt, Urteil vom 13.09.2018 (Az.: 2-03 O 283)
- OLG Köln, Urteil vom 18.04.2019 (Az.: 15 U 215/18)
- OLG Köln, Urteil vom 18.04.2019 (Az.: 15 U 156/18)
- OLG Köln, Urteil vom 10.10.2019 (Az.: I-15 U 39/19, 15 U 39/19)
- LG Frankfurt, Urteil vom 17.10.2019 (Az.: 2-03 452/18)
- OLG Düsseldorf, Beschluss v. 21.10.2019 (Az.: 25 O 13047/19)
Eine Analyse der Rechtsprechung zeigt:
Eine klare Linie scheint es bezüglich der Herleitung aus Art. 17 DSGVO (noch) nicht zugeben. Nichtsdestotrotz scheint die Mehrheit der Rechtsprechung einen Unterlassungsanspruch aus Art. 17 DSGVO (bis jetzt!) herzuleiten.
