Tim Wybitul / Mehmet Celik

Die Nachweispflicht nach Art. 5 Abs. 2 und Art. 24 Abs. 1 DS-GVO ist keine Beweislast


Tim Wybitul ist Partner und Fachanwalt für Arbeitsrecht bei Latham & Watkins in Frankfurt/M. sowie Mitherausgeber der ZD.

Mehmet Celik ist wissenschaftlicher Mitarbeiter bei Latham & Watkins

ZD 2019, 529   Datenschutzrechtlich Verantwortliche müssen die Einhaltung der Datenschutzgrundsätze des Art. 5 Abs. 1 DS-GVO nachweisen können. Diese in Art. 5 Abs. 2 DS-GVO festgelegte Rechenschaftspflicht wird durch Art. 24 Abs. 1 DS-GVO noch weiter konkretisiert. Danach setzt der Verantwortliche technische und organisatorische Maßnahmen um, um sicherstellen und nachweisen zu können, dass eine Verarbeitung personenbezogener Daten die Anforderungen der DS-GVO erfüllt. Verantwortliche müssen die Anforderungen der DS-GVO nicht nur umsetzen, sondern dies auch nachweisen können. Teilweise wird aus dieser Nachweispflicht eine Beweispflicht in zivilrechtlichen Verfahren wegen datenschutzrechtlicher Ansprüche gefolgert. Auch aus Art. 82 DS-GVO wird teilweise eine Beweislastumkehr bzw. eine Verschuldensvermutung gefolgert. Richtigerweise enthalten die datenschutzrechtliche Nachweispflicht oder Art. 82 DS-GVO aber keine Beweislastregeln.

 

Beweislast bei datenschutzrechtlichen Zivilverfahren

Art. 5 Abs. 2 und Art. 24 Abs. 1 DS-GVO regeln eine Verpflichtung von Verantwortlichen, nach der sie nachweisen können müssen, dass sie die datenschutzrechtlichen Vorgaben einhalten. Zum Teil wird aus dieser Nachweispflicht eine zivilrechtliche Beweislastregel gefolgert (vgl. z.B. Bergt, in: Kühling/Buchner, DS-GVO/BDSG, 2. Aufl. 2018, Art. 82 Rdnr. 46 ff.; Boehm, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 82 Rdnr. 31). Nach der allgemeinen Beweislastverteilung im deutschen Zivilprozess muss jede Partei die für sie günstigen Tatsachen beweisen. Der Anspruchsteller muss also die seinen Anspruch begründenden Voraussetzungen beweisen (Saenger, in: Saenger, Zivilprozessordnung, 8. Aufl. 2019, § 286 Rdnr. 58). Leitet man hingegen aus der datenschutzrechtlichen Nachweispflicht des Verantwortlichen eine zivilrechtliche Beweislastregel ab, gelten gänzlich andere Regeln in Bezug auf die Beweislast im Zivilprozess - z.B. in Schadensersatzprozessen nach Art. 82 DS-GVO. Denn dann müsste nicht der Anspruchsteller beweisen, dass er durch eine unzulässige Datenverarbeitung des Verantwortlichen einen Schaden erlitten hat. Sondern der Verantwortliche müsste nachweisen, dass er sämtliche Vorgaben der DS-GVO eingehalten hat.

 

Unverhältnismäßigkeit der Beweislastumkehr

Der Nachweis eines Verantwortlichen, dass er sämtliche Vorgaben der DS-GVO ausnahmslos einhält, dürfte angesichts der ausgesprochen komplexen Anforderungen der DS-GVO in der Praxis kaum möglich sein. Die Folgen einer solchen Auslegung könnten daher eine unverhältnismäßige Sanktion darstellen. Der Schadensersatzanspruch aus Art. 82 DS-GVO bezweckt zwar zunächst, betroffenen Personen einen billigen Ausgleich erlittener Schäden zu gewähren. Daneben soll der Schadensersatzanspruch nach Ansicht einiger Autoren aber auch als repressives und präventives Sanktionsinstrument dienen, welches mittelbar Verstöße gegen die Vorgaben der DS-GVO sanktioniert (so etwa Quaas, in: Wolff/Brink, BeckOK Datenschutzrecht, Art. 82 Rdnr. 1; Moos/Schefzig, in: Taeger/Gabel, DS-GVO/BDSG, 3. Aufl. 2019, Art. 82 Rdnr. 5). Nach der Rechtsprechung des EuGH müssen auch zivilrechtliche Sanktionen für Verstöße gegen Unionsrecht wirksam und abschreckend sein. Zugleich ist aber auch hier stets der allgemeine Verhältnismäßigkeitsgrundsatz zu wahren (EuGH IStR 2013, 922, Rdnr. 51). Diese vom EuGH aufgestellten Anforderungen beziehen sich zunächst auf Sanktionsinstrumente in Umsetzung von EU-Richtlinien. Allerdings ist auch die DS-GVO und damit der Schadensersatzanspruch aus Art. 82 DS-GVO mit mitgliedstaatlichen Mitteln umzusetzen (Nemitz, in: Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Aufl. 2018, Art. 82 Rdnr. 3). Mitgliedstaaten haben damit bei der Auslegung der Voraussetzungen des Schadensersatzanspruchs die Anforderungen des EuGH an Sanktionsinstrumente zu beachten. Die Aufbürdung einer umfassenden und faktisch nicht erbringbaren Nachweispflicht würde jedoch Verantwortliche gerade über Gebühr belasten.

 

Systematik, Wortlaut und Wille des Gesetzgebers

Bei genauer Betrachtung legt aber auch die DS-GVO selbst eine derart gravierende Abweichung von den allgemeinen Beweisregeln nicht nahe. Die datenschutzrechtliche Nachweispflicht wird in Bezug auf das Verarbeitungsverzeichnis in Art. 30 Abs. 3 DS-GVO noch weiter konkretisiert. Danach ist das Verarbeitungsverzeichnis schriftlich bzw. in elektronischer Form zu führen. Die zuständige Aufsichtsbehörde kann verlangen, dass der Verantwortliche ihr das Verarbeitungsverzeichnis zur Verfügung stellt, Art. 30 Abs. 4 DS-GVO. Bereits dieses Beispiel zeigt, wie eng das Informationsbedürfnis der Aufsichtsbehörden und die Nachweispflicht von Verantwortlichen miteinander verknüpft sind. Dies deutet darauf hin, dass die Nachweispflicht nur den Aufsichtsbehörden gegenüber besteht. Damit kann die in Art. 5 Abs. 2 und Art. 24 Abs. 1 DS-GVO niedergelegte Nachweispflicht keine Auswirkung auf zivilprozessualer Ebene entfalten.

I.Ü. bieten weder der Wortlaut von Art. 5 Abs. 2 DS-GVO noch der von Art. 24 Abs. 1 DS-GVO Hinweise auf eine zivilprozessuale Beweislastregelung. Hätte der Verordnungsgeber einen derart weitgreifenden Eingriff in nationale Prozessordnungen gewollt, hätte er dies wohl auch klar erkennbar geregelt.

Auch Erwägungsgrund 82 DS-GVO sieht ausdrücklich vor, dass Verantwortliche nur der Aufsichtsbehörde gegenüber nachweispflichtig sind bzw. nur zur Zusammenarbeit mit der Aufsichtsbehörde verpflichtet sind. Eine Nachweispflicht gegenüber betroffenen Personen erwähnen die Erwägungsgründe dagegen nicht.

 

Keine Beweisnot der betroffenen Person

Gegen eine Abkehr von den zivilprozessualen Beweislastregelungen spricht zudem, dass für betroffene Personen keine übermäßige Beweisnot herrscht, die eine andere Beweislastverteilung möglicherweise rechtfertigen könnte. So haben betroffene Personen nach Art. 15 DS-GVO das Recht, von datenschutzrechtlich Verantwortlichen umfangreiche Auskünfte über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Die Gewährung des Auskunftsrechts bezweckt nach Erwägungsgrund 63 Satz 1 DS-GVO gerade, die jeweils betroffene Person in die Lage zu versetzen, die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen zu können. Eine Beweislastumkehr erscheint vor diesem Hintergrund daher wenig interessengerecht.

 

Rechtsprechung zur Beweislast

Diese Sichtweise hat kürzlich auch das LG Karlsruhe (ZD 2019, 511) bestätigt. Das Gericht hat festgestellt, dass für Schadensersatzansprüche nach Art. 82 DS-GVO die allgemeinen Beweislastregeln anwendbar bleiben. Damit hat grundsätzlich die betroffene Person die haftungsbegründenden Tatsachen darzulegen und auch zu beweisen.

 

Beweislastumkehr aus Art. 82 Abs. 3 DS-GVO?

Bei der bisher erörterten Frage nach der grundsätzlichen Beweislastverteilung herrscht unter Datenschutzexperten noch weitgehende Uneinigkeit (gegen eine Abweichung von der allgemeinen Beweislastverteilung z.B.: Becker, in: Plath, DS-GVO/BDSG, 3. Aufl. 2018, Art. 82 Rdnr. 4; Moos/Schefzig, a.a.O., Art. 82 Rdnr. 49; für eine Abweichung z.B.: Bergt, a.a.O., Art. 82 Rdnr. 46 ff.; Boehm, a.a.O., Art. 82 Rdnr. 31).

Dagegen zeichnet sich bei der Beweislastverteilung hinsichtlich des Verschuldens in Art. 82 DS-GVO bislang ein einheitlicheres Meinungsspektrum ab. Viele Stimmen in der Literatur vertreten, dass der Verantwortliche i.R.v. Art. 82 DS-GVO den Nachweis fehlenden Verschuldens zu erbringen habe, um einer Haftung zu entgehen. Lediglich die Begründungsansätze weichen teilweise voneinander ab. Einige Autoren nehmen eine Art Gefährdungshaftung mit Exkulpationsmöglichkeit an (Becker, a.a.O., Art. 82 Rdnr. 5; Frenzel, in: Paal/Pauly, DS-GVO/BDSG, 2. Aufl. 2018, Art. 82 Rdnr. 6). Andere gehen hingegen von einer Verschuldenshaftung für vermutetes Verschulden aus (Feldmann, in: Gierschmann/Schlender/Stentzel/Veil, Datenschutz-Grundverordnung, 2018, Art. 82 Rdnr. 17; Gola/Piltz, in: Gola, DS-GVO, 2. Aufl. 2018, Art. 82 Rdnr. 18).

 

Wortlaut spricht gegen Beweislastumkehr

Bei näherer Betrachtung des Wortlauts von Art. 82 Abs. 3 DS-GVO zeigt sich, dass dort gerade keine zivilrechtliche Beweislastumkehr hinsichtlich des Verschuldens des Verantwortlichen geregelt ist.

Art. 82 Abs. 2 Satz 1 DS-GVO sieht vor, dass jeder an einer Verarbeitung beteiligte Verantwortliche bei einem Verstoß gegen die DS-GVO haftet. Danach genügt ggf. bereits eine Beteiligung eines Verantwortlichen an der Datenverarbeitung für eine Haftung auf Schadensersatz (Moos/Schefzig, a.a.O., Art. 82 Rdnr. 61). Es kommt somit nach Art. 82 Abs. 2 Satz 1 DS-GVO nicht darauf an, ob dem beteiligten Verantwortlichen selbst die schädigende Handlung auch zurechenbar ist (Quaas, a.a.O., Art. 82 Rdnr. 39). Hierdurch wird die Haftung i.E. zunächst sehr weit ausgedehnt. Hintergrund dieser weiten Ausdehnung ist das vom EU-Gesetzgeber verfolgte Ziel, betroffenen Personen einen effektiven Schadensersatzanspruch zu gewähren (Moos/Schefzig, a.a.O., Art. 82 Rdnr. 61).

Der von Teilen der Literatur zur Begründung einer vermeintlichen Beweislast herangezogene Wortlaut des Art. 82 Abs. 3 DS-GVO bestimmt dementsprechend, dass der Verantwortliche von dieser erweiterten Haftung dann wieder frei wird, wenn er nachweist, dass er in keinerlei Hinsicht für den schadensstiftenden Umstand verantwortlich ist. Art. 82 Abs. 3 DS-GVO bezieht sich hierbei jedoch ausdrücklich allein auf Art. 82 Abs. 2 DS-GVO.

Bezweckt ist mit Art. 82 Abs. 3 DS-GVO also nur, solchen Verantwortlichen eine Enthaftungsmöglichkeit einzuräumen, denen wegen ihrer bloßen Beteiligung an der Datenverarbeitung ansonsten auch die schädigende Handlung eines anderen Verantwortlichen zugerechnet würde. Art. 82 Abs. 3 DS-GVO regelt damit keine Beweislastumkehr hinsichtlich des Verschuldens i.R.e. Schadensersatzverlangens nach Art. 82 Abs. 1 DS-GVO. Vielmehr ermöglicht Art. 82 Abs. 3 DS-GVO lediglich eine sachgerechte Einschränkung der andernfalls übermäßig weiten Haftung nach Art. 82 Abs. 2 DS-GVO.

 

Fazit

Die in Art. 5 Abs. 2 sowie Art. 24 Abs. 1 DS-GVO geregelte Rechenschaftspflicht regelt lediglich eine Nachweispflicht gegenüber den Datenschutzbehörden. Die datenschutzrechtliche Nachweispflicht besteht dagegen nicht in Zivilverfahren gegenüber betroffenen Personen. Damit führt sie auch nicht zu einer Abkehr von den grundsätzlichen zivilprozessualen Maßstäben für die Verteilung der Beweislast.

Auch die mit unterschiedlichen Begründungsansätzen vertretene Ansicht, i.R.e. Schadensersatzanspruchs folge aus Art. 82 Abs. 3 DS-GVO eine Beweislastumkehr hinsichtlich des Verschuldens des Verantwortlichen, ist mit guten Gründen zu hinterfragen. Bei näherer Betrachtung spricht vieles dafür, dass die Regelung lediglich die aus Art. 82 Abs. 2 DS-GVO resultierende Ausdehnung der Haftung auf beteiligte Verantwortliche nach einer Exkulpation wieder einschränkt.