Unzulässige Öffentlichkeitsarbeit der Datenschutzaufsichtsbehörden

ZD 2024, 241   Die Datenschutzaufsichtsbehörden räumen der Öffentlichkeitsarbeit mittlerweile einen hohen Stellenwert ein. Nach Art. 57 Abs. 1 lit. b DS-GVO haben sie die Aufgabe, die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten zu sensibilisieren und sie darüber aufzuklären. Zudem sieht Art. 57 Abs. 1 lit. e DS-GVO vor, dass auf Anfrage jeder betroffenen Person Informationen über die Ausübung ihrer Rechte zur Verfügung zu stellen sind.

Pressemitteilungen über Bußgeldbescheide

In letzter Zeit sind jedoch vermehrt Pressemitteilungen zu beobachten, in denen Datenschutzaufsichtsbehörden über Bußgeldbescheide unter namentlicher Nennung der betroffenen Unternehmen berichten. Die Presseerklärungen werden regelmäßig nicht nur über einen Presseverteiler, sondern auch auf der behördeneigenen Internetseite veröffentlicht.

So hat etwa der HmbBfDI am 1.10.2020 eine Pressemitteilung über die Verhängung eines Bußgelds iHv 35,3 Mio. EUR wegen Datenschutzverstößen im Servicecenter von H&M veröffentlicht. Am 24.9.2021 informierte er über den Erlass eines Bußgeldbescheids gegen die Vattenfall Europe Sales GmbH. Ebenso berichtete der LfDI Baden-Württemberg am 3.2.2021 über die Einleitung eines Bußgeldverfahrens gegen die VfB Stuttgart 1893 AG sowie am 10.3.2021 über dessen Abschluss mit der Verhängung eines Bußgelds über 300.000 EUR. Die BlnBDI teilte am 19.9.2019 im Wege einer Presseerklärung mit, dass sie gegen den Lieferdienst Delivery Hero Germany GmbH sowie gegen die Online-Bank N26 jeweils Bußgeldbescheide erlassen hat. Nur zwei Monate später informierte sie am 5.11.2019 die Presse und Öffentlichkeit über einen Bußgeldbescheid iHv 14,5 Mio EUR, den sie gegen die Immobiliengesellschaft Deutsche Wohnen SE wegen der teilweise unzulässigen Speicherung von Mieterdaten erlassen hat. Alle drei Unternehmen finden auch namentliche Erwähnung im Tätigkeitsbericht der BlnBDI (Jahresbericht 2019, S. 161 ff.).

Für Unternehmen kann die mediale Aufmerksamkeit schwerwiegende Folgen haben. Neben einem Reputationsverlust müssen sie Umsatzeinbußen bis hin zur Existenzvernichtung befürchten. Es stellt sich daher die Frage, in welchen Grenzen staatliches Informationshandeln zulässig ist. Aktuellen Anlass hierfür gibt eine Entscheidung des VG Köln v. 17.11.2023, das der Unterlassungsklage eines Callcenter-Betreibers gegen die BNetzA stattgegeben hat. Das VG Köln urteilte, dass keine Rechtsgrundlage für die Nennung des Unternehmens, gegen das ein Bußgeldbescheid wegen unerlaubter Telefonwerbung ergangen ist, in einer Pressemitteilung der BNetzA bestehe (ZD 2024, 297 - in diesem Heft). Bereits zuvor hatte das OVG NRW (ZD 2021, 535 mAnm Schnabel) im Eilrechtsschutzverfahren mit Beschluss v. 17.5.2021 dieselbe Auffassung vertreten. Dass das OVG NRW im Hauptsacheverfahren (Az. 13 A 78/24) anders entscheiden wird, ist nicht zu erwarten. Zu klären ist, ob die zum TK-Recht ergangenen Entscheidungen auf das Datenschutzrecht übertragen werden können.

Grundrechtsbindung und Grundrechtseingriff

Unternehmen fallen zwar idR nicht in den Schutzbereich der DS-GVO, vgl. Art. 1 Abs. 1 DS-GVO. Sie können sich jedoch auf die Berufsfreiheit berufen. Art. 12 Abs. 1 GG gewährt das Recht der freien Berufswahl und -ausübung und ist gem. Art. 19 Abs. 3 GG auch auf juristische Personen anwendbar, soweit sie eine Erwerbszwecken dienende Tätigkeit ausüben, die ihrem Wesen und ihrer Art nach in gleicher Weise einer juristischen wie einer natürlichen Person offensteht. Im Anwendungsbereich der GRCh gewähren sowohl die Berufsfreiheit nach Art. 15 GRCh als auch die unternehmerische Freiheit nach Art. 16 GRCh Schutz.

Auf die Öffentlichkeitsarbeit der Datenschutzaufsichtsbehörden können die allgemeinen Grundsätze für staatliche Hinweise und Warnungen angewendet werden, die sich in der Rechtsprechung des BVerfG und BVerwG seit Ende der 1980er Jahre herausgebildet haben. Öffentliche Stellen sind hiernach grundsätzlich ohne besondere Ermächtigung dazu berechtigt, im Zusammenhang mit der ihnen jeweils zugewiesenen Sachaufgabe Presse-, Öffentlichkeits- und Informationsarbeit zu betreiben. Die amtliche Information der Öffentlichkeit kann jedoch in ihrer Zielsetzung und ihren mittelbar-faktischen Wirkungen einem Eingriff als funktionales Äquivalent gleichkommen, wenn sie direkt auf die Marktbedingungen konkret individualisierter Unternehmen zielt, indem sie die Grundlagen der Entscheidungen am Markt zweckgerichtet beeinflusst und so die Markt- und Wettbewerbssituation zum wirtschaftlichen Nachteil der betroffenen Unternehmen verändert, BVerfG NJW 2018, 2109 (2111) = ZD 2019, 235 (Ls.) - Lebensmittelpranger. Ein solches funktionales Äquivalent eines Grundrechtseingriffs kann insbesondere bei Presseerklärungen angenommen werden, die im Zusammenhang mit Bußgeldbescheiden die Firma nennen und Unternehmen damit an den Pranger stellen (sog. "naming and shaming"). Den Pressemitteilungen kommt dann neben repressiver auch spezial- und generalpräventive Wirkung zu, die zu Wettbewerbsverzerrungen auf dem Markt führen kann.

Erforderlichkeit einer Ermächtigungsgrundlage

Nach der klassischen Lehre vom Vorbehalt des Gesetzes hat der Gesetzgeber "in grundlegenden normativen Bereichen, zumal im Bereich der Grundrechtsausübung, alle wesentlichen Entscheidungen selbst zu treffen" (BVerfG NJW 1993, 1379 (1380)). Erforderlich ist daher eine gesetzliche Rechtsgrundlage, die dem rechtsstaatlichen Gebot der Normenklarheit und dem Bestimmtheitsgrundsatz entspricht. Denn "durch Wahl eines solchen funktionalen Äquivalents eines Eingriffs kann das Erfordernis einer gesetzlichen Grundlage nicht umgangen werden" (BVerfG NJW 2002, 2626 (2629) - Osho). Der von der DSK in Auftrag gegebene vorläufige Bericht des Arbeitskreises (AK) Grundsatz v. 9.11.2000 zu den Rahmenbedingungen aufsichtsbehördlicher Produktwarnungen führt in Bezug auf die Rechtsprechung des BVerfG aus, dass "Datenschutzaufsichtsbehörden über die in Art. 57 Abs. 1 Buchstabe b) DS-GVO normierte Sensibilisierungsaufgabe hinaus mangels Vorliegen eines Eingriffs in die Grundrechte des Produktherstellers keiner besonderen gesetzlichen Ermächtigung für Produktwarnungen bedürfen". Dass dies regelmäßig nicht zutreffen dürfte, wurde bereits oben ausgeführt. Ob der finale Bericht, den die DSK auf ihrer 102. Konferenz am 24./25.11.2021 angenommen hat, zu einem anderen Ergebnis kommt, ist nicht bekannt. Denn anders als der Zwischenbericht, der anlässlich einer IFG-Anfrage auf der Internetseite von FragdenStaat veröffentlicht wurde, hat das finale Papier bislang nicht den Weg in die Öffentlichkeit gefunden.

Art. 58 Abs. 3 lit. b DS-GVO als Ermächtigungsgrundlage

Der Zwischenbericht des AK Grundsatz führt Art. 57 Abs. 1 lit. b DS-GVO iVm Art. 58 Abs. 3 lit. b DS-GVO als mögliche Rechtsgrundlage für aufsichtliche Produktwarnungen an. Nach Art. 58 Abs. 3 lit. b DS-GVO ist es den Datenschutzaufsichtsbehörden gestattet, zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an das nationale Parlament, die Regierung des Mitgliedstaats oder im Einklang mit dem Recht des Mitgliedstaats an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten. Während die Kommentarliteratur hieraus nahezu einhellig die Befugnis zur Namensnennung ableitet (zB Paal/Pauly, DS-GVO BDSG/Körffer, 3. Aufl. 2021, DS-GVO Art. 58 Rn. 29; Gola/Heckmann, DS-GVO BDSG/Nguyen, 3. Aufl. 2022, DS-GVO Art. 58 Rn. 20), wird diese von der übrigen Literatur - richtigerweise - abgelehnt (Born K&R 2021, 13 (16 f.); Hessel/Schneider K&R 2022, 82 (84 f.)). Denn sowohl nach dem im Grundgesetz verankerten Rechtsstaatsprinzip (Art. 20 Abs. 3 GG) als auch nach Art. 52 Abs. 1 GRCh ist eine hinreichend bestimmte Rechtsgrundlage erforderlich. Drohende Einschränkungen müssen für den Träger der Grundrechte vorhersehbar sein. Eine allgemein gehaltene, generalklauselartige Ermächtigung wird dem nicht gerecht. Dem Wortlaut des Art. 58 Abs. 3 lit. b DS-GVO kann nicht ansatzweise entnommen werden, unter welchen Voraussetzungen und in welchem Umfang die Aufsichtsbehörden Stellungnahmen abgeben dürfen. Vor diesem Hintergrund verwundert es nicht, dass Paal (K&R 2020, 8) - auf der vergeblichen Suche nach einer Rechtsgrundlage in der DS-GVO - den Art. 58 Abs. 3 lit. b DS-GVO übersehen hat. Völlig übersehen wird von der Kommentarliteratur zudem, dass Art. 58 Abs. 3 lit. b DS-GVO eine Information der Öffentlichkeit nur "im Einklang mit dem Recht des Mitgliedstaats" erlaubt. Hierbei handelt es sich um eine Öffnungsklausel, die auf das nationale Recht verweist. Auch deswegen kann Art. 58 Abs. 3 lit. b DS-GVO keine eigenständige Rechtsgrundlage sein (ebenso Born K&R 2021, 13 (17)).

Art. 59 DS-GVO als Ermächtigungsgrundlage

Art. 59 DS-GVO verpflichtet die Aufsichtsbehörden, jährlich einen Tätigkeitsbericht zu erstellen, welcher der Öffentlichkeit zugänglich gemacht wird. Allerding scheidet auch diese Norm als Rechtsgrundlage aus. Art. 59 DS-GVO sieht zwar vor, dass der Tätigkeitsbericht eine Liste der Arten der gemeldeten Verstöße und getroffenen Maßnahmen gem. Art. 58 Abs. 2 DS-GVO enthalten kann. Darunter fällt jedoch keine Auflistung bebußter Unternehmen.

Landespressegesetze als Ermächtigungsgrundlage

Auch der Auskunftsanspruch der Presse, der sich aus den Pressegesetzen der Länder (zB Art. 4 BayPrG) und unmittelbar aus Art. 5 Abs. 1 S. 2 GG ergibt, kann Pressemitteilungen mit Namensnennung nicht rechtfertigen. Ob der presserechtliche Auskunftsanspruch proaktive Öffentlichkeitsarbeit überhaupt erlaubt (abl. Born K&R 2021, 13 (17)), kann dahinstehen. Denn die Mitteilungen sind - trotz der gewählten Bezeichnung als "Pressemitteilung" - nicht exklusiv Journalisten vorbehalten, sondern auf Grund ihrer Veröffentlichung im Internet auch und gerade der Allgemeinheit zugänglich. Die presserechtlichen Anspruchsgrundlagen rechtfertigen keine Weitergabe grundrechtsrelevanter Informationen an Dritte über den privilegierten Kreis der Pressevertreter hinaus, denen eine besondere Verantwortung im Umgang mit den so erhaltenen Informationen obliegt (OVG NRW BeckRS 2021, 1073 Rn. 69).

Auch die verfassungsunmittelbare Rechtspflicht der Gerichte zur Publikation veröffentlichungswürdiger Entscheidungen und damit korrespondierender Pressemitteilungen kann in diesem Zusammenhang nicht herangezogen werden. Denn die Gerichtsentscheidungen und Presseerklärungen sind idR zu anonymisieren (BVerfG ZD 2016, 77 (81) mAnm Dieterle), was eine Namensnennung ausschließt.

Fazit

De lege lata ist eine individualisierende Berichterstattung der Datenschutzaufsichtsbehörden unzulässig. Geprüft werden sollte daher eine Kodifikation der Voraussetzungen und Grenzen datenschutzrechtlicher Öffentlichkeitsarbeit. Vorbild könnte etwa das Kartellrecht sein, dessen 2017 eingeführter § 53 Abs. 5 GWB die Veröffentlichung von Bußgeldentscheidungen des BKartA vorsieht. Ganz aktuell strebt der Gesetzgeber mit dem Referentenentwurf eines TK-Netzausbau-Beschleunigungs-Gesetzes v. 28.8.2023 die Schaffung eines neuen § 208a TKG an, wonach die BNetzA hinsichtlich Bußgeldentscheidungen auch Einzelheiten zum festgestellten Verstoß sowie Angaben zu den Beteiligten des Verfahrens mitteilen kann. Dies dürfte eine Reaktion auf den Beschluss des OVG NRW (ZD 2021, 535 mAnm Schnabel) sein, auch wenn die Entwurfsbegründung dies ausdrücklich negiert.