einem Jahr gelöscht. Im Übrigen erfolgt die Speicherung der Daten bei der Klägerin für 400 Tage. Die Daten werden per GPS an den Server der Firma EDM-Telematix GmbH gesendet, dort aufbereitet und können von der Klägerin auf der Website mit verschlüsseltem Zugang abgerufen werden. Der Standort des Servers ist unbekannt. Gemäß dem Verzeichnis von Verarbeitungstätigkeiten vom 15.03.2021 dient das Geo-Tracking der Ortung einzelner Fahrzeuge, um bei Missbrauch und Diebstahl eingreifen zu können. Zudem sollen der Benzinverbrauch und der jeweilige Kraftstoffbestand in den Tanks überwacht werden, um Kraftstoffdiebstahl erkennen zu können. Für organisatorische Zwecke soll die Ortung der Fahrzeuge der Koordination von Sonderabholungen dienen. Darüber hinaus wird im Rahmen der gesetzlichen Bestimmungen der sogenannte Massenspeicher monatlich ausgelesen und der Fahrtenschreiber gemanagt. Als Rechtsgrundlage werden in dem Verarbeitungsverzeichnis Art. 6 UA 1 Abs. 1 lit. a), c) und f) DS-GVO angegeben. Es handele sich um Profiling im Sinne von Art. 4 Abs. 3 DS-GVO hinsichtlich des Aufenthaltsorts. In der Datenschutzfolgeabschätzung vom 15.03.2021 heißt es, es handele sich um eine Optimierung des Workflows, in dem die personenbezogenen Daten keine Rolle spielten bzw. überwiegend nicht erfasst würden. Eine Information der Mitarbeiter über die Einführung des GPS-Trackings erfolgte nicht, ebenso wenig liegen Einwilligungen der Mitarbeiter vor.
dem der Beklagte Informationen über einen möglichen Datenschutzverstoß durch die Klägerin erhielt, hörte er die Klägerin mit Schreiben vom 15.12.2020 und Frist zur Stellungnahme bis zum 18.01.2021 an und richtete eine Reihe von Fragen an die Klägerin. Der Beklagte wies die Klägerin darauf hin, dass er beabsichtige, die Klägerin
2 DS-GVO anzuweisen, ihre Mitarbeiterinnen und Mitarbeiter
Mit Schreiben vom 17.03.2021 legte der beauftragte externe Datenschutzbeauftragte der Klägerin den Auftragsverarbeitungsvertrag, das Verzeichnis der Verarbeitungstätigkeiten zum Geo-Tracking inkl. der Datenschutzfolgeabschätzung vor. Er führte aus: Bei den 43 Fahrzeugen ohne Fahrtenschreiber lasse sich durch die Software keine Zuordnung auf den jeweiligen Fahrer herstellen. Die Verarbeitung sei
1 lit. a),
1 UA 1 lit.
weis für Lieferungen erbracht werden, insoweit stelle die Speicherung über 400 Tage angesichts längerer Verjährungsfristen die Untergrenze dar. Die Daten würden so auch zum Schutz der Mitarbeiter gespeichert. Mit Bescheid vom 27.07.2021 forderte der Beklagte die Klägerin auf, 1. gemäß Art. 58 Abs. 2 Buchst. d DS-GVO das GPS-Tracking innerhalb von zwei Wochen ab Bestandskraft des Bescheides in Einklang mit der DS-GVO zu bringen, indem auf die Speicherung der GPS-Trackingdaten verzichtet wird und nur ein Live-Tracking der Daten erfolgt, 2. gemäß Art. 58 Abs. 2 Buchst.
weis der Leistungserbringung könne mit der Speicherung der Standortdaten nicht erreicht werden (VG Lüneburg, Teilurteil vom
1 lit. a) DS-GVO müssten personenbezogene Daten auf rechtmäßige Weise,
Treu und Glauben sowie in einer für die betroffenen Personen
vollziehbaren Weise verarbeitet werden. Weiter sei
1 DS-GVO die Verarbeitung rechtmäßig, wenn mindestens eine der in den lit.
Maßgabe beider Vorschriften sei erforderlich, dass die Datenverarbeitung zur Erreichung des hiermit verfolgten Zwecks erforderlich ist, wobei eine Prüfung am Maßstab des Verhältnismäßigkeitsgrundsatzes erforderlich sei. Im Rahmen dieser Prüfung seien insbesondere die widerstreitenden Interessen, hier zum einen der durch die Klägerin verfolgte Zweck sowie die Interessen der Beschäftigten zur Herstellung praktischer Konkordanz abzuwägen und zu einem Ausgleich zu bringen. Der von der Klägerin verfolgte Zweck, das GPS-Tracking zur Effizienzsteigerung einzusetzen, könne zwar als legitimer Zweck gelten und der Einsatz des GPS-Tracking könne auch zur Verwirklichung dieses Zweckes geeignet sein. Es handele sich hierbei jedoch nicht um das mildeste aller gleich effektiv zur Verfügung stehenden Mittel. Zur Erreichung des Zwecks "Effizienzsteigerung" sei eine flüchtige Momentaufnahme, d.h. Live-Daten, ausreichend. Eine Speicherung der Daten sei für den beabsichtigten Zweck, namentlich die Routenoptimierung bzw. die Reaktion auf kurzfristige Aufträge aus Sicht der Beklagten nicht erforderlich und damit unzulässig. Auch der von der Klägerin verfolgte Zweck des Schutzes vor Missbrauch und Diebstahl durch den Einsatz des GPS-Tracking sei anerkennenswert, wobei als gesetzliche Grundlage hierbei Art. 6 Abs. 1 UA 1 lit.
der Rechtsprechung des Bundesarbeitsgerichts handele es sich beim Einsatz von GPS-Tracking-Systemen um eine Maßnahme, die zur Überwachung des Verhaltens und der Leistung der Beschäftigten objektiv geeignet sei. Eine Einwilligung auf freiwilliger Basis durch den jeweiligen Mitarbeiter sei hierzu ausgeschlossen. Da die Klägerin ihrem Verstoß nicht abgeholfen habe, seien entgegen ihrer Auffassung die auf Grundlage von Art. 58 Abs. 1 lit. a), Art. 58 Abs. 2 lit. c),
DS-GVO die Rechtsauffassung des Beklagten noch nicht wider, weshalb die Klägerin anzuweisen gewesen sei, dem Beklagten innerhalb von zwei Wochen ab Bestandskraft des Bescheides diese Unterlagen aktualisiert vorzulegen. Im Übrigen sei die Klage auch nicht zulässig, weil sie sich nur gegen das Informationsschreiben an den Klägerbevollmächtigten richte und nicht gegen den Bescheid. Wegen der Einzelheiten des Sach- und Streitstands wird auf die zu den Akten gereichten Schriftsätze und Anlagen sowie die Behördenakte Bezug genommen. Diese waren Gegenstand der mündlichen Verhandlung und Beratung. Gründe Die Klage ist zulässig, aber unbegründet, und hat daher keinen Erfolg. Der Verwaltungsrechtsweg ist eröffnet. Die vom Gesetzgeber selbst als deklaratorisch bezeichnete aufdrängende Sonderzuweisung in § 19 Abs. 1 HDSIG i.V.m. § 56 HDSIG dürfte mangels Gesetzgebungskompetenz des Landes für aufdrängende Sonderzuweisungen verfassungswidrig sein (vgl. hierzu bereits den Wortlaut des § 40 Abs. 1 S. 2 VwGO, der Regelungen im Landesrecht nur bei abdrängenden Sonderzuweisungen vorsieht, sowie Art. 72 Abs. 1, 74 Abs. 1 Nr. 1 GG, siehe nur BeckOK VwGO/Reimer, 59. Ed. 1.4.2021, VwGO § 40 Rn. 223). Hierauf kommt es im Ergebnis jedoch nicht an, da die Voraussetzungen des § 40 Abs. 1 S. 1 VwGO gegeben sind. Die Anfechtung einer behördlichen Entscheidung unter Rückgriff auf Aufsichtsbefugnisse
der DS-GVO stellt nämlich ohne Weiteres eine öffentlich-rechtliche Streitigkeit nicht-verfassungsrechtlicher Art dar. Die Klage ist als Anfechtungsklage gegen den streitgegenständlichen Bescheid
GO statthaft. Sie richtet sich offensichtlich gegen den Bescheid vom 27.07.2021 und nicht nur, wie die Beklagte vorgetragen hat, gegen das Informationsschreiben vom 02.08.2021. Insoweit legt das Gericht das Klagebegehren im wohlverstandenen Interesse der Klägerin, an dem aufgrund ihres Vorbringens kein Zweifel besteht,
GO aus. Die Klagebefugnis resultiert aus der Betroffenheit als Adressatin, § 42 Abs. 2 VwGO. Ein Vorverfahren ist nicht durchzuführen, § 68 Abs. 1 S. 2 Nr. 1 VwGO, weil der Hessische Datenschutzbeauftragte eine oberste Landesbehörde ist (§ 8 Abs. 1 HDSIG), vgl. hierzu auch § 20 Abs. 6 BDSG. Die Klagefrist
GO ist eingehalten. Der angefochtene Bescheid vom 27.07.2021 wurde dem Klägerbevollmächtigten am 04.08.2021 per EB zugestellt. Die Klageerhebung am 03.09.2021 erfolgte damit innerhalb der Monatsfrist. Die Klage ist unbegründet. Der Bescheid des Beklagten vom 27.07.2021 ist nicht rechtswidrig und verletzt die Klägerin nicht in ihren Rechten, § 113 Abs. 1 S. 1 VwGO. Der Bescheid ist formell rechtmäßig. Die Zuständigkeit des Hessischen Datenschutzbeauftragten ergibt sich aus § 13 HDSIG. Zudem ist die Klägerin zuvor
VfG nicht vertieft begründet. Durch ihr Vorbringen in der Klageerwiderung (S. 9 des Schriftsatzes vom 18. Oktober 2021, Bl. 58 Gerichtsakte) hat sie sich inhaltlich zur Notwendigkeit der Regelung geäußert und damit die Begründung im Sinne von § 45 Abs. 1 Nr. 2 HVwVfG
geholt. Der Bescheid ist auch materiell rechtmäßig. Ermächtigungsgrundlage für Ziff. 1 (Verzicht auf Speicherung) ist Art. 58 Abs. 2 lit. d) DS-GVO. Danach hat die Aufsichtsbehörde die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Demnach muss der Adressat des Bescheids Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO sein, ein Verarbeitungsvorgang vorliegen, der gegen die DS-GVO verstößt und die Aufsichtsbehörde bei der Anweisung ermessensfehlerfrei gehandelt haben. Diese Voraussetzungen liegen vor. Die Klägerin ist Verantwortliche und damit richtige Adressatin der Verfügung. Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Klägerin entscheidet über die eingesetzten Mittel und Zwecke, sie setzt das GPS-Tracking der Firma Wialon ein, um den Standort ihrer Fahrzeuge live zu überwachen und den Standort über 400 Tage ab der Aufzeichnung zu speichern. Sie bestimmt mithin über das Ob des Einsatzes des GPS-Tracking und die hierfür eingesetzte Software. Die Klägerin betreibt einen Verarbeitungsvorgang unter Verstoß gegen die DS-GVO. Ein Verarbeitungsvorgang ist
2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die Verarbeitung betrifft personenbezogene Daten
1 DS-GVO, wenn es sich um Informationen handelt, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann. Vorliegend werden zwar nur die Fahrzeuge getrackt, jedoch ist der jeweilige Nutzer (Fahrer) über die Zuordnung zu dem ihm zugeteilten Fahrzeug identifizierbar (vgl. VG Lüneburg, Teilurteil vom 19. März 2019 - 4 A 12/19 -, juris Rn. 29). Es handelt sich mithin um personenbezogene Daten in diesem Sinn. Eine Rechtsgrundlage für die Datenverarbeitung durch die Klägerin existiert nicht, sodass die Verarbeitung nicht rechtmäßig ist, Art. 5 Abs. 1 lit. a) DS-GVO.
1 DS-GVO bedarf die Datenverarbeitung einer Rechtsgrundlage. In Betracht kommen hier, wie die Klägerin anführt, Art. 6 Abs. 1 UA 1 lit. a), c) und f) DS-GVO.
1 UA 1 lit. a) DS-GVO ist die Verarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Die Rechtmäßigkeit der Einwilligung beurteilt sich
2 BDSG weiter präzisiert hat. Diese Voraussetzungen sind nicht erfüllt. Eine Einwilligung hat die Klägerin nicht eingeholt. Das Gericht hat mit dem Beklagten auch Zweifel, ob eine Einwilligung, wie sie der Klägerin vorschwebt (Entwurf Bl. 20f der Gerichtsakte), zulässig wäre. Gleichgelagerte Interessen der Mitarbeiter der Klägerin mit der Klägerin sind insoweit nicht ohne Weiteres zu erkennen, einen wirtschaftlichen Vorteil - etwa in Form einer Gehaltserhöhung - beabsichtigt die Klägerin nicht ihren Mitarbeitern zukommen zu lassen.
1UA 1 lit. c) DS-GVO ist die Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Auch dieses Kriterium ist nicht erfüllt. Hinsichtlich der Mitarbeiter, die keine Lenk- und Ruhezeiten
der Verordnung (EG) Nr. 561/2006 des Europäischen Parlaments und des Rates vom 15.03.2006 zur Harmonisierung bestimmter Sozialvorschriften im Straßenverkehr und zur Änderung der Verordnungen (EWG) Nr. 3821/85 und (EG) Nr. 2135/98 des Rates sowie zur Aufhebung der Verordnung (EWG) Nr. 3820/85 des Rates (ABl. EU Nr. L 102 S. 1) i.V.m. der Fahrpersonalverordnung vom 27.06.2005 ( BGBl. I S. 1882 , zuletzt geändert durch Art. 1 VO zur Änd. fahrpersonalrechtlicher und straßenverkehrsrechtlicher Vorschriften vom 08.08.2017 ( BGBl. I S. 3158 )) einzuhalten haben, besteht schon keine Verpflichtung der Klägerin, Aufzeichnungen über die Routen ihrer Mitarbeiter zu führen. Hinsichtlich der Mitarbeiter, die unter o.g. Verordnungen fallen, und hinsichtlich derer die Klägerin
5 und 2a Fahrpersonalverordnung eine Aufbewahrungspflicht hinsichtlich der Daten aus dem Massenspeicher des Fahrtenschreibers und über stattgefundene Kontrollen hat, ist eine Datenerhebung zur Wegstrecke über die vom Fahrtenschreiber aufgezeichneten Daten hinaus nicht erforderlich, insbesondere nicht der genaue Standort.
1 UA 1 lit. f) DS-GVO ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die danach vorzunehmende Abwägung der Interessen der Klägerin einerseits und der betroffenen Mitarbeiter andererseits fällt zu Lasten der Klägerin aus, weil die Datenspeicherung des Standorts, zumal über 400 Tage lang, nicht verhältnismäßig ist. Eine Datenspeicherung ist verhältnismäßig, wenn sie einen legitimen Zweck verfolgt, geeignet ist, diesen Zweck zu erreichen, keine gleich wirksamen, weniger einschneidenden Maßnahmen erkennbar sind (Erforderlichkeit) und sich im Ausgleich der widerstreitenden Interessen als verhältniswahrend im engeren Sinne erweist. Hieran gemessen ist die Speicherung der Standortdaten durch die Klägerin offensichtlich unverhältnismäßig. Die Zulässigkeit der Datenerhebung und erst recht der Speicherung scheitert
Auffassung des Gerichts schon daran, dass sie geheim erfolgt, ohne dass erkennbar ist, warum die Mitarbeiter der Klägerin nicht wissen dürfen, dass ihr Arbeitgeber sie bei Fahrten konstant überwacht. Das Gericht versteht Art. 5 Abs. 1 lit. a) DS-GVO, der Treu und Glauben und die
vollziehbarkeit der Verarbeitung für die Betroffenen als Maßstab für eine rechtmäßige Datenverarbeitung ansieht, als grundsätzliches Transparenzgebot, das auch in Art. 7 , 12f f DS-GVO seinen Niederschlag findet. Die Klägerin hat auch in der mündlichen Verhandlung keine Argumente vorgebracht, die auch nur im Ansatz ein Interesse begründen, die Mitarbeiter verdeckt zu überwachen. Ein solches Interesse kann insbesondere bei Fällen der Aufklärung von Straftaten und insoweit zur Beweissicherung anzuerkennen sein (§ 26 Abs. 1 S. 2 BDSG; BAG, Urteil vom
zuweisen, etwa eine Empfangsbestätigung durch den Empfänger, ein als Erinnerungsstütze dienender Ablieferungsvermerk des Fahrers oder eine punktuelle Aufzeichnung und Speicherung des Standorts, die
Ablauf der Verjährungsfrist zu löschen ist. Die Klägerin hat zuletzt in der mündlichen Verhandlung keine
vollziehbaren Gründe geliefert, warum ihr diese weniger einschneidenden Mittel nicht zur Verfügung stehen. Da sie nicht beabsichtigt, die Mitarbeiter ohne behördlichen Zwang über die das Livetracking zu informieren, ist auch nicht glaubhaft, dass sie den Mitarbeitern durch die Standortspeicherung eine Erinnerungsstütze für die Ablieferung einer bestimmten Fracht geben möchte. Liegen die Voraussetzungen für die Wahrnehmung von Abhilfebefugnissen durch den Beklagten vor, steht diesem in der Rechtsfolge ein Ermessen zu, das gerichtlich nur eingeschränkt überprüfbar ist, § 114 VwGO. Das Gericht prüft, ob der Beklagte in den gesetzlichen Grenzen seines Ermessens gehalten und von seinem Ermessen in einer dem Zweck der Ermächtigung entsprechenden Weise Gebrauch gemacht hat (Ermessensfehler). Zu prüfen ist insbesondere, ob der Beklagte sich überhaupt bewusst war, dass ihm ein Ermessen zusteht (sog. Ermessensnichtgebrauch). Eine Gesamtbetrachtung unter Berücksichtigung von Klageerwiderung und des Inhalts mündlichen Verhandlung ergibt jedoch, dass der Beklagte sich seiner Handlungsmöglichkeiten bewusst war und hier Anlass für ein Einschreiten gesehen hat. Mit Blick auf den anhaltenden und schwerwiegenden Verstoß der Klägerin gegen den Datenschutz und die dahinterstehenden Arbeitnehmerrechte, das Fehlen einer ordnungsgemäßen Dokumentation und die fehlende Kooperationsbereitschaft der Klägerin im Verwaltungsverfahren bestehen keine Bedenken gegen die Anordnung in Ziff. 1 des Bescheids und die knappen Ausführungen des Beklagten zu seinem Ermessen. Das Gericht geht davon aus, dass der Beklagte in Zukunft größeren Wert auf die Darlegung der Ermessenserwägungen legen wird. Hinsichtlich sonstiger Ermessensfehler, die nicht erkennbar sind, fehlt es an substantiiertem Vortag der Klägerin zu Ermessensfehlern. Bedenken gegen die Fristsetzung (zwei Wochen ab Bestandskraft) bestehen seitens des Gerichts nicht. Ziff. 2 des angegriffenen Bescheids ist ebenfalls materiell rechtmäßig. Mit Art. 58 Abs. 2 lit. g) DS-GVO stützt sich der Beklagte auf die richtige Rechtsgrundlage. Danach hat die Aufsichtsbehörde die Befugnis, die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung anzuordnen (Art. 16 , 17 und 18 DS-GVO) sowie anzuordnen, dass solche Maßnahmen den Empfängern, denen diese personenbezogenen Daten offengelegt wurden, mitgeteilt werden (Art. 17 Abs. 2 und Art. 19 DS-GVO). Art. 58 Abs. 2 lit. g) DS-GVO setzt, soweit hier relevant, voraus, dass objektiv die Voraussetzungen für einen Löschungsanspruch
Das ist
1 lit. d) DS-GVO der Fall, wenn die personenbezogenen Daten unrechtmäßig verarbeitet worden sind und kein Ausschlussgrund
3 DS-GVO erfüllt ist. Diese Voraussetzungen sind hier erfüllt. Wie oben dargestellt, sind die personenbezogenen Standortdaten der Mitarbeiter der Klägerin von dieser unrechtmäßig gespeichert, mithin verarbeitet, worden. Ausschlussgründe
3 DS-GVO sind nicht erfüllt. Auch insoweit besteht ein Ermessen der Aufsichtsbehörde, das gerichtlich nur eingeschränkt überprüfbar ist. Ermessensfehler sind wiederum nicht ersichtlich, wobei der Beklagte wiederum erst in der Klageerwiderung und in der mündlichen Verhandlung hinreichend zur erkennen gegeben hat, dass er sich seines Ermessensspielraums bewusst gewesen ist. Bedenken gegen die Fristsetzung (zwei Wochen ab Bestandskraft) bestehen seitens des Gerichts im Ergebnis nicht. Der angegriffene Bescheid ist auch hinsichtlich Ziff. 3 materiell rechtmäßig. Ermächtigungsgrundlage ist insoweit allerdings nicht Art. 58 Abs. 2 lit. c) DS-GVO, wonach die Aufsichtsbehörde die Befugnis hat, die es ihr gestattet, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr
dieser Verordnung zustehenden Rechte zu entsprechen. Die Regelung setzt einen Antrag etwa
den Art. 15f f DS-GVO voraus, betrifft also regelmäßig Situationen, in denen sich ein Betroffener an die Aufsichtsbehörden wendet, weil der Verantwortliche sich weigert, gestellten Anträgen zu entsprechen. Ein solcher Antrag liegt hier nicht vor. Das Gericht ist allerdings befugt, eine fälschlich in Anspruch genommene Ermächtigungsgrundlage auszutauschen (BVerwG, Beschluss vom 29.07.2019 - 2 B 19/18 -, juris Rn. 24 m.w.N.). Das Handeln des Beklagten kann hier auf Art. 58 Abs. 2 lit. d) DS-GVO gestützt werden. Die Vorschrift sieht vor, dass die Aufsichtsbehörde den Verantwortlichen oder den Auftragsverarbeiter anweisen kann, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Die Klägerin ist richtige Adressatin der Anweisung, weil sie Verantwortliche ist. Es liegt mit der verdeckten Datenerhebung, wie ausgeführt, auch ein Verarbeitungsvorgang vor. Die Anweisung hat auch einen zulässigen Inhalt, indem der Klägerin die Aufklärung der Betroffenen über die Verarbeitung
Art. 13 DS-GVO sieht (mit Ausnahme bei bestehender Kenntnis, Art. 13 Abs. 4 DS-GVO) zwingend die Aufklärung des Betroffenen über bestimmte Aspekte der Datenverarbeitung und die Identität des Verantwortlichen als immanente Folge einer Datenverarbeitung zum Zeitpunkt der Verarbeitung vor und ist damit Teil des Verarbeitungsvorgangs. Keine Bedenken bestehen, die Klägerin in diesem Zusammenhang dazu zu verpflichten, dem Beklagten ein Exemplar der Aufklärung zu übermitteln. Es handelt sich insoweit um eine unselbstständige Begleitverfügung, die von der Ermächtigungsgrundlage gedeckt ist. Hinsichtlich der Ermessensausübung gilt das oben Gesagte. Schließlich ist auch Ziff. 4 des Bescheids materiell rechtmäßig. Mit Art. 58 Abs. 1 lit. a) DS-GVO stützt sich der Beklagte auch auf die richtige Ermächtigungsgrundlage. Insoweit besteht seine Befugnis, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls deren Vertreter anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung der Aufgaben der Aufsichtsbehörde erforderlich sind.
4 DS-GVO ist das Verarbeitungsverzeichnis der Aufsichtsbehörde auf Anfrage vorzulegen. Gemessen hieran ist der Bescheid rechtmäßig. Bei dem Verarbeitungsverzeichnis
DS-GVO und der Datenschutz-Folgeabschätzung
DS-GVO handelt es sich um Informationen, die wesentliche Aspekte der Datenverarbeitung durch den Verantwortlichen beschreiben und daher den Sachverhalt für die Aufsichtsbehörde erleuchten. Insoweit sind sie zur Erfüllung der Aufgabe der Aufsichtsbehörde erforderlich, Art. 30 Abs. 4, Art. 36 DS-GVO. Die Klägerin ist als Verantwortliche wiederum richtige Adressatin der Verfügung und auch gemäß Art. 30 Abs. 1 DS-GVO zur Erstellung eines Verarbeitungsverzeichnisses verpflichtet. Die Ausnahme des Art. 30 Abs. 5 DS-GVO greift nicht. Die Klägerin hat zwar weniger als 250 Mitarbeiter, allerdings birgt die verdeckte Datenerhebung offenkundig ein Risiko für die Rechte der Mitarbeiter (§ 26 BDSG, Art. 13 DS-GVO, Art. 6 DS-GVO) und die Verarbeitung erfolgt auch nicht nur gelegentlich. Die Klägerin ist auch zur Erstellung einer Datenschutz-Folgeabschätzung verpflichtet, Art. 35 Abs. 1, 3 lit.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.