Leitsatz 1. Bereits mit Beschluss vom 31.08.2021 (6 K 226/21.WI; C-552/21) wurde die Frage gestellt, ob die Entscheidung der Aufsichtsbehörde den Charakter einer behördlichen Sachentscheidung habe. 2.

Art. 15Abs.

1 lit. c) DS-GVO durch Nichtbearbeitung des Auskunftsverlangens des Klägers, -

Art. 12Abs.

3 DS-GVO, da sie insoweit, als sie das Auskunftsverlangen des Klägers beantwortet habe, das Auskunftsverlangen nicht innerhalb der Monatsfrist beantwortet habe, -

Art. 5

DS-GVO durch unzureichende Speicherfristen von Zugriffsprotokollen, -

Art. 5

DS-GVO durch ungenügende Überwachung der Zugriffsprotokolle sowie -

Art. 5

DS-GVO durch Unterlassung von Folgemaßnahmen zur Vermeidung zukünftiger Vorfälle gleicher Art. Der Kläger begehrt von dem Gericht die Verpflichtung der beklagten Aufsichtsbehörde zum Einschreiten gegen die Sparkasse XXX durch eine Neuentscheidung unter Beachtung der Rechtsauffassung des Gerichts, wobei die Verpflichtung und Rechtsauffassung des Gerichts neben einer Durchsetzung der Ansprüche des Klägers auch eine Verpflichtung zum Erlass eines Bußgeldes nach Art. 83 Abs. 2 DS-GVO enthalten solle. Der Kläger führt aus: „Ausgehend von einer Bilanzsumme der Sparkasse von ca. 3. Mrd. EUR im Geschäftsjahr 2019 würde sich eine Geldbuße von bis zu 60.000.0000 EUR (2 %) bzw. bis zu 120.000.000 EUR (4 %) ergeben“. IV. Das vorlegende Gericht ist zur Vorlage der Frage gemäß Art. 267 Abs. 1 lit. a, Abs. 2 AEUV berechtigt. Denn in Frage steht die Auslegung der Art. 57, 58, 77 DS-GVO, die sekundäres Unionsrecht darstellen. Die Entscheidung über diese Frage ist für den Erlass des Urteiles erforderlich. Denn im vorliegenden Fall hat die nationale Aufsichtsbehörde ein Einschreitermessen ausgeübt und ist zu dem Ergebnis gekommen, dass zwar ein Verstoß gegen Datenschutzbestimmungen vorliegt, ein Einschreiten nach Art. 58 Abs. 2 DS-GVO aber dennoch nicht geboten sei. Dieses Vorgehen ist nur dann rechtmäßig, wenn die Aufsichtsbehörde auch bei einem festgestellten Datenschutzverstoß nicht verpflichtet ist, einzuschreiten. Folgt man der Auffassung des Klägers und der in der Literatur geäußerten Meinung (Härting, Flisek, Thiess, Das neue Beschwerderecht des Bürgers, CR 2018, 296 ff.), es bestehe kein Ermessen, so hätte dies zur Folge, dass immer bei einem festgestellten Verstoß ein Anspruch auf Einschreiten und Abhilfe bestünde und die Aufsichtsbehörde in allen Fällen eine Maßnahme nach Art. 58 Abs. 2 bzw. 83 Abs. 2 DS-GVO zu treffen hätte. Im Falle der Ablehnung müsste das Gericht dann die Aufsichtsbehörde zu einer Maßnahme oder einer Auswahl von Maßnahmen verpflichten. An dieser Auslegung hat das Gericht Zweifel und findet diese Auslegung zu weitgehend. Das Gericht neigt vielmehr dazu, der Aufsichtsbehörde einen Spielraum zuzugestehen, auch bei festgestellten Verstößen von Sanktionen abzusehen. Zwar ist der Charakter der Rechtsnatur der Entscheidung der nationalen Aufsichtsbehörde nach Art. 77 DS-GVO umstritten. In der Vorlage C-552/21 führte die vorlegende Kammer aus, dass es nach Art. 77 Abs. 1 DS-GVO ihrer Ansicht nach gerade nicht ausreiche, dass sich die Behörde nur mit der Beschwerde befasse, den Beschwerdegegenstand angemessen untersuche und über das Ergebnis der Prüfung unterrichte. Hierdurch werde das Recht auf wirksamen gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde gemäß Art. 78 Abs. 1 DS-GVO eingeschränkt. Ansonsten wäre die Durchsetzung der DS-GVO dann auch ganz wesentlich auf die Geltendmachung privater Rechtsbehelfe im Sinne des Art. 79 DS-GVO angewiesen und damit in erster Linie eine private Aufgabe. Dass dies nicht im Sinne der DS-GVO sein könne, ergebe sich daraus, dass die Umsetzung der Vorgaben der DS-GVO Aufgabe der Mitgliedstaaten und deren nationaler Verwaltungen sei (Art. 57 Abs. 1 lit. a DS-GVO). Allerdings steht der Aufsichtsbehörde zu der in der Vorlage C-552/21 dargelegten Überzeugung der Kammer ein Beurteilungs- und ein Ermessensspielraum in Bezug auf ein mögliches Einschreiten zu, weshalb die Aufsichtsbehörde im Einzelfall trotz eines Verstoßes des Dritten zulässigerweise auf ein Tätigwerden verzichten kann. Zwar wird in der Literatur teilweise die Ansicht vertreten, dass der Bürger, der durch die Datenverarbeitung in seinen Rechten verletzt ist, auch einen Anspruch auf Abhilfe habe. Es bestünde ein Anspruch gegen die Aufsichtsbehörde auf Erlass eines abhelfenden Verwaltungsakts gem. Art. 58 Abs. 2 DS-GVO (Härting/Flisek/Thiess „DS-GVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers“ in: CR 2018, S. 299). Die Aufsichtsbehörde sei jedenfalls verpflichtet, bei festgestellten Rechtsverstößen hiergegen mit dem Ziel der Abstellung des Verstoßes vorzugehen, insbesondere eine Geldbuße zu verhängen und, falls erforderlich, Anordnungen nach Art. 58 Abs. 2 lit.

1. c)bis
2. j)zu erlassen (Kühling/Buchner/ Bergt, 3. Aufl. 2020, DS-GVO Art. 77 Rn. 17). Dies wird daraus hergeleitet, dass die Abhilfebefugnisse nach Art. 58 Abs. 2 DS-GVO dazu dienten, rechtmäßige Zustände wiederherzustellen, wenn Bürger durch eine Datenverarbeitung in ihren Rechten verletzt werden. Art. 58 Abs. 2 DS-GVO sei als Verpflichtungsnorm zu verstehen, die einen Anspruch des Bürgers auf behördliches Handeln begründe, wenn ein Unternehmen oder eine Behörde rechtswidrig personenbezogene Daten des Bürgers verarbeitet oder in anderer Weise Rechte verletzt haben. Im Falle der Feststellung eines Datenschutzverstoßes sei die Aufsichtsbehörde zur Abhilfe verpflichtet; ihr bliebe lediglich das Auswahlermessen, welche der Maßnahmen des Art. 58 Abs. 2 DS-GVO sie ergreift (Härting/Flisek/ Thiess, a.a.O., S. 299). Dennoch darf der Ansicht der Kammer nach aber nicht übersehen werden, dass Art. 57 Abs. 1 lit. f DS-GVO lediglich bestimmt, dass sich die Aufsichtsbehörde mit Beschwerden befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichtet. Hieraus folgt eine Pflicht zu einer sorgsamen inhaltlichen Prüfung, jedoch nicht, dass stets und ausnahmslos ein Einschreiten geboten ist, wenn ein Verstoß festgestellt wird. Auch im Zusammenspiel mit den Erwägungsgründen 129 und 141 zur DS-GVO wird dieses Verständnis deutlich. Hiernach sollte insbesondere jede Maßnahme der Aufsichtsbehörde im Hinblick auf die Gewährleistung der Einhaltung dieser Verordnung geeignet, erforderlich und verhältnismäßig sein, wobei die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind. Jede betroffene Person sollte das Recht haben, bei einer Aufsichtsbehörde eine Beschwerde einzureichen und gemäß Artikel 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten gemäß dieser Verordnung verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich gerichtlicher Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb eines angemessenen Zeitraums über den Fortgang und die Ergebnisse der Beschwerde unterrichten. Aus diesen Formulierungen wird deutlich, dass die Aufsichtsbehörde den Einzelfall zu prüfen hat. Es ist nur dann ein Einschreiten geboten, wenn dies zum Schutz der Rechte der betroffenen Person notwendig ist. Dies bedeutet im Umkehrschluss, dass nicht jeder Verstoß gegen Datenschutzvorschriften zwangsläufig zu einem Einschreiten führt, sondern dass der Einzelfall zu prüfen ist. Im Einzelfall ist es nämlich auch möglich, dass zwar in der Vergangenheit ein Verstoß gegen Datenschutzvorschriften stattgefunden hat, das handelnde Unternehmen bzw. die Behörde dies aber bemerkt hat und Maßnahmen getroffen hat, die nicht erwarten lassen, dass ein Datenschutzverstoß erneut auftritt. Ein Einschreiten der Aufsichtsbehörde wäre in diesem Fall überflüssig. Dies wird auch aus dem Wortlaut des Art. 58 Abs. 1 und 2 DS-GVO deutlich. Demnach ist es der Aufsichtsbehörde „gestattet“, die entsprechenden Untersuchungsbefugnisse einzusetzen. Nach dem allgemeinen Sprachgebrauch beschreibt dieses Verb die Einwilligung, „dass jemand etwas tut oder lässt“. Wenn die Aufsichtsbehörde in jedem Falle zum Einschreiten verpflichtet wäre, sobald ein Verstoß gegen die DS-GVO vorliegt, so hätte nicht von der Gestattung gesprochen werden müssen, sondern von einer Verpflichtung. Dies wird auch in der englischen und französischen Version der DS-GVO deutlich. Im Englischen werden folgende Formulierungen verwendet: “ Each supervisory authority shall have all of the following investigative powers ” beziehungsweise “ Each supervisory authority shall have all of the following corrective powers ”. Es werden hier durch den Ausdruck Verb “ shall have […] powers “ die Befugnisse der Aufsichtsbehörde beschrieben. Es ist nicht die Rede davon, dass eine „ duty “ zum Einschreiten besteht, ebenso wird nicht von „obliged to“ gesprochen. Eine Verpflichtung zur Nutzung der Befugnisse lässt sich hieraus nicht herleiten. Ebenso verhält es sich in der französischen Fassung: „ Chaque autorité de contrôle dispose de tous les pouvoirs d'enquête suivants“ und „Chaque autorité de contrôle dispose du pouvoir d'adopter toutes les mesures correctrices suivantes “. Der Ausdruck „ disposer des pouvoirs “ beschreibt ein „Verfügen“ über Befugnisse. Nur weil die Aufsichtsbehörde über Befugnisse verfügt, folgt auch hier nicht daraus, dass diese Befugnisse zwingend einzusetzen sind. Um eine einheitliche Auslegung zu erreichen, ist die Beantwortung der Frage erforderlich. Das vorlegende Gericht neigt dabei nach dem zuvor Ausgeführten zu einer Auslegung dahingehend, dass die Sachenscheidung der Aufsichtsbehörde zwar voll inhaltlich von dem Gericht zu überprüfen ist. Die Aufsichtsbehörde verfügt jedoch über ein Entschließungsermessen. Es besteht nur dann ein Anspruch auf ein Einschreiten, wenn rechtmäßige Alternativen nicht erkennbar sind (etwa bei einer sog. Ermessensreduzierung auf Null). V. Der Beschluss ist unanfechtbar. Permalink Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.rv.hessenrecht.hessen.de/perma?d=LARE220002412