Der Europäische Gerichtshof (EuGH) hat die Befugnisse und Pflichten der Datenschutzaufsichtsbehörden bei der Durchsetzung der Datenschutz-Grundverordnung (DS-GVO) weiter konkretisiert. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) begrüßt das heute verkündete Urteil in der Rechtssache C-768/21: „Mit seiner Entscheidung schafft der EuGH Rechtssicherheit und leistet damit einen richtungsweisenden Beitrag zur Harmonisierung des europäischen Datenschutzrechts“, so der HBDI Prof. Dr. Alexander Roßnagel.
Die Rechtssache C-768/21 beruht auf einem Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden. Dem dortigen Verwaltungsstreitverfahren ging eine Beschwerde einer betroffenen Person beim HBDI gegen eine Sparkasse voraus. Im Zentrum des Ausgangsverfahrens stand die Frage, ob und in welchem Umfang Betroffene einen Anspruch auf Erlass einer Maßnahme durch die Datenschutzaufsichtsbehörde gegen die verantwortliche Stelle haben, wenn sie einen Datenschutzverstoß festgestellt hat.
Der EuGH stellt hierzu fest, dass die Datenschutzaufsichtsbehörden, auch wenn sie eine Verletzung des Schutzes personenbezogener Daten feststellen, nicht verpflichtet sind, eine Abhilfemaßnahme zu ergreifen, insbesondere Geldbußen zu verhängen, wenn dies nicht erforderlich ist, um der festgestellten Unzulänglichkeit abzuhelfen und die Einhaltung dieser Verordnung zu gewährleisten. Ein solcher Fall könnte u.a. dann vorliegen, wenn der für die Verarbeitung Verantwortliche, sobald er von der Verletzung Kenntnis erlangt hat, die erforderlichen Maßnahmen ergriffen hat, damit die Verletzung abgestellt wird und sich nicht wiederholt. Die DS-GVO räumt der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhilft. Dieses Ermessen wird durch das Erfordernis begrenzt, durch den klar durchsetzbaren Rechtsrahmen der DS-GVO ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten.
Der Hessische Datenschutzbeauftragte hebt insbesondere positiv hervor, dass der EuGH klarstellt, dass die Aufsichtsbehörde bei der Durchsetzung der DS-GVO mit Augenmaß vorgehen und insbesondere konstruktive Maßnahmen der Verantwortlichen berücksichtigen kann. Dies gibt für diese einen positiven Anreiz, die Einhaltung von Datenschutzvorgaben zu überwachen und bei Verletzungen unmittelbar zu reagieren. Die Entscheidung gibt den Behörden die nötige Flexibilität, um individuell auf Verstöße reagieren zu können. „Der HBDI wird seine Praxis weiterhin daran ausrichten, Datenschutzverstöße effektiv zu verfolgen und gleichzeitig sicherstellen, dass Maßnahmen in jedem Einzelfall verhältnismäßig und im Interesse der Betroffenen ergriffen werden“, so Roßnagel.