DSGVO-Beschwerde: Keine gerichtliche Vollprüfung der Entscheidung der Aufsichtsbehörde
KI-Zusammenfassung
Der Kläger begehrte die „Überprüfung“ der Arbeit des Bundesdatenschutzbeauftragten, weil dieser einen behaupteten Datenschutzverstoß von Finanzämtern im ELStAM-Verfahren nicht hinreichend ermittelt habe. Das FG legt den Antrag als Anfechtungs- und Verpflichtungsbegehren auf Neubescheidung der Beschwerdeentscheidung aus. Die Klage blieb erfolglos, weil der Beklagte seine Pflichten aus Art. 57 Abs. 1 lit. f i.V.m. Art. 77 DSGVO erfüllt habe und die DSGVO keine gerichtliche Kontrolle der materiellen Richtigkeit der Beschwerdeentscheidung vorsehe. Ein Anspruch auf Herausgabe von Log-Daten wäre ggf. gegenüber dem verantwortlichen Finanzamt geltend zu machen gewesen.
Ausgang: Klage auf (sinngemäße) Neubescheidung der DSGVO-Beschwerdeentscheidung abgewiesen.
Abstrakte Rechtssätze
Das Beschwerderecht nach Art. 77 DSGVO vermittelt gegenüber der Aufsichtsbehörde keinen Anspruch auf bestimmte Ermittlungsmaßnahmen, sondern nur auf Befassung, angemessene Untersuchung und Unterrichtung über Stand und Ergebnis.
Der Umfang der Untersuchungen der Aufsichtsbehörde nach einer Beschwerde richtet sich nach dem Einzelfall und ist insbesondere an Bedeutung der Sache und Schwere des behaupteten Verstoßes auszurichten (Erwägungsgrund 141 DSGVO).
Der gerichtliche Rechtsbehelf nach Art. 78 DSGVO eröffnet regelmäßig keine Vollkontrolle der materiellen Richtigkeit einer aufsichtsbehördlichen Beschwerdeentscheidung, sondern beschränkt sich auf die Prüfung ordnungsgemäßer Entgegennahme, Prüfung und Bescheiderteilung.
Ein Anspruch auf Herausgabe bzw. Auskunft über konkrete Zugriffsdaten (Log-Daten) ist gegenüber der für die Datenverarbeitung verantwortlichen Stelle geltend zu machen und nicht im Wege der „Überprüfung“ der Aufsichtsbehörde durchzusetzen.
Soweit der Betroffene eine verbindliche Klärung eines behaupteten Datenschutzverstoßes gegenüber dem Verantwortlichen anstrebt, ist hierfür der unmittelbare Rechtsbehelf nach Art. 79 DSGVO vorgesehen.
Tenor
Die Klage wird abgewiesen.
Der Kläger trägt die Kosten des Verfahrens.
Der Streitwert wird auf 5.000 € festgesetzt.
Tatbestand
Nach dem Ergebnis der mündlichen Verhandlung begehrt der Kläger, dass „die Arbeit des Bundesdatenschutzbeauftragten (…) überprüft wird“, da ein behaupteter Verstoß des Finanzamts A bzw. Finanzamts B gegen datenschutzrechtliche Vorschriften nicht adäquat geprüft worden sei.
Der Kläger war bis Juni 2018 bei einem Gastronomiebetrieb beschäftigt. Am .06.2018 wurde ihm nach eigenen Angaben wegen eines weiteren Beschäftigungsverhältnisses gekündigt.
Im Juni 2018 wandte sich der Kläger an das Finanzamt B, woraufhin dieses ihm die Datenabrufe zu seinen elektronischen Lohnsteuerabzugsmerkmalen durch seine Arbeitgeber in den letzten 24 Monaten mitteilte (Bl. 23 ff. GA).
Am 15.09.2018 wandte er sich erneut an das Finanzamt B und teilte mit, dass ihm inzwischen von einem seiner Arbeitgeber gekündigt worden sei, da er einen zweiten Hauptarbeitgeber gehabt habe. In diesem Zusammenhang benötige er die Information, wer ab Februar 2018 seine ELStAM-Daten abgerufen habe. Zudem benötige er die Angabe, welcher Mitarbeiter der Finanzverwaltung seine Daten abgerufen habe (Bl. 34 GA). Daraufhin übersandte das Finanzamt erneut eine Aufstellung, welche Arbeitgeber die ELStAM-Daten des Klägers abgerufen hatten, verbunden mit dem Hinweis, dass durch die Anmeldung bei einem weiteren Hauptarbeitgeber der bisherige Hauptarbeitgeber zum Nebenarbeitgeber geworden sei. Im weiteren Verlauf erläuterte das Finanzamt B das ELStAM-Verfahren und erklärte, dass nicht vom Finanzamt bestimmt werde, wer Haupt- und wer der Nebenarbeitgeber sei, sondern der jeweilige Arbeitgeber, der seinen Mitarbeiter anmelde. Inwieweit einzelne Mitarbeiter des Finanzamtes Abrufe aus der Datenbank getätigt hätten, ließe sich nicht feststellen.
Daraufhin wandte sich der Kläger am 21.12.2018 an das ... Staatsministerium der Finanzen und für Heimat und beantragte die Auskunft, welcher Mitarbeiter eines Finanzamtes zu welchem Zeitpunkt ihn betreffende ELStAM-Daten abgerufen habe, da er diese Information für ein arbeitsgerichtliches Verfahren benötige. Daraufhin teilte das ... Landesamt für Steuern am 31.1.2019 mit, dass es keiner Mitteilung eines Beschäftigten des Finanzamts B an den früheren Arbeitgeber bedurft hätte, um einen neuen Hauptarbeitgeber anzumelden. Woher der frühere Arbeitgeber von dem weiteren Arbeitgeber Kenntnis erlangt habe, entziehe sich der Kenntnis der Finanzverwaltung.
Daraufhin wandte sich der Kläger im Februar 2019 an den Beklagten und teilte mit, sein früherer Arbeitgeber habe vom Finanzamt A Daten zu einem weiteren Arbeitsverhältnis des Klägers erhalten. Zum Beleg zitierte er eine E-Mail seines früheren Arbeitgebers mit folgendem Inhalt:
„Hallo C (Kläger),
ich möchte dich bitten unser Büro nicht mehr mit langatmigen Anrufen zu belästigen. Wir haben auf die Grundlage der LSt Berechnung keinen Einfluss, dies wird vom Behördenprogramm ELSTER vorgegeben. Hättest ja keinen zweiten Job bei D machen brauchen.
Mit freundlichen Grüßen…“
Hieraus schloss der Kläger, sein früherer Arbeitgeber habe den Namen „D“ nur über das Finanzamt A herausgefunden haben könne. Der frühere Arbeitgeber sei im Landkreis A sehr bekannt und habe Kontakte in das lokale Finanzamt. Es sei nicht ersichtlich, woher der frühere Arbeitgeber sonst die entsprechenden Informationen gehabt haben könne. Der frühere Arbeitgeber habe den Kläger anlässlich einer arbeitsgerichtlichen Verhandlung darüber hinaus nach einem konkreten weiteren Arbeitsverhältnis gefragt.
Die ... Finanzverwaltung gebe keine Auskunft, welche Mitarbeiter seine Daten abgerufen hätten. Die Finanzverwaltung weigere sich, die im Rechenzentrum ... vorgehaltenen Log-Dateien herauszugeben. Hierin liege ein Datenschutzverstoß. Der Kläger forderte den Beklagten auf, die Log-Dateien von der ... Finanzverwaltung anzufordern.
Mit Bescheid vom 24.10.2019 kam der Beklagte zu dem Ergebnis, dass das Finanzamt A nicht gegen datenschutzrechtliche Vorgaben bei der Verarbeitung personenbezogener Daten verstoßen habe. Es sei davon auszugehen, dass der frühere Arbeitgeber über das Verfahren ELStAM von einem weiteren Arbeitsverhältnis erfahren habe. Es lägen keine Anhaltspunkte dafür vor, dass jemand vom Finanzamt A dem früheren Arbeitgeber des Klägers telefonisch eine Auskunft über ein weiteres Arbeitsverhältnis gegeben habe. Wahrscheinlicher sei, dass der frühere Arbeitgeber über andere Quellen die Identität des weiteren Arbeitgebers erfahren habe. Hierfür spreche die Nutzung des Vornamens in der E-Mail. Auf eine Einholung einer Stellungnahme der ... Finanzverwaltung werde verzichtet, da ausweislich der vorliegenden Unterlagen das Landesamt für Steuern am 31.01.2019 bereits mitgeteilt habe, dass keine Erkenntnisse vorlägen, woher sich die beiden Arbeitgeber gekannt hätten. Mangels anderweitiger Anhaltspunkte seien verhältnismäßige Ermittlungsmöglichkeiten nicht ersichtlich. Vor diesem Hintergrund sei ein Verstoß gegen Datenschutzrecht nicht erkennbar.
Mit seiner Klage vom 24.11.2019 führt der Kläger aus, dass der frühere Arbeitgeber über das System ELStAM keine Kenntnis von der Identität eines weiteren Arbeitgebers habe erlangen könne, da durch eine arbeitgeberseitige Abfrage nur die Lohnsteuerklasse mitgeteilt werde. Im Zusammenhang mit einem arbeitsgerichtlichen Prozess habe der frühere Arbeitgeber zugegeben, seine Informationen vom Finanzamt A erhalten zu haben. Es müssten Verstöße gegen datenschutzrechtliche Regelungen durch das Finanzamt A vorliegen. Um dies zu klären, bedürfe es der Herausgabe der Log-Dateien. Dass die entsprechenden Zugriffsdaten vorgehalten würden, ergebe sich aus dem Fall „Hoeneß“. Hier habe genau festgestellt werden können, welche Mitarbeiter auf die Steuerdaten des Herrn Hoeneß zugegriffen hätten.
Die Klage beim Finanzgericht sei nur deshalb erhoben worden, weil der Beklagte hierauf in der Rechtsbehelfsbelehrung hingewiesen habe.
Zum Klagegegenstand führte der Kläger schriftsätzlich aus, dass es ihm um die Herausgabe des Zugriffsverlaufs der Daten gehe, mit denen festgestellt werden könne, welcher Mitarbeiter seine Daten beim Finanzamt abgerufen habe.
Wörtlich führte der Kläger aus, dass er fordere, dass „das Finanzgericht Köln der Herausgabe der Daten zustimmt“. In einem weiteren Schriftsatz beantragte der Kläger, „die Gegenseite für schuldig zu sprechen, dass die Log-Datei“ des „Falles herausgegeben werden“ müsse. Diese würde benötigt, um gegen ein Bundesland Schadensersatzansprüche geltend zu machen.
In einem klageabweisenden Gerichtsbescheid vom 05.02.2021 hat das Gericht das Klagebegehren zunächst dahingehend ausgelegt, dass der Beklagte verpflichtet werden sollte, die Daten mitzuteilen, aus denen sich ergibt, welche Mitarbeiter des Finanzamts A solche Daten, die die Arbeitsverhältnisse des Klägers betreffen, abgerufen haben.
In der daraufhin beantragten mündlichen Verhandlung vom 19.05.2021 hat der Kläger seinen Antrag wörtlich wie folgt gefasst:
Der Kläger beantragt
dass die Arbeit des Bundesdatenschutzbeauftragten für Datenschutz überprüft wird, da der Verstoß des Finanzamts A bzw. Finanzamts B nicht adäquat geprüft wurde, sondern lediglich auf das Schreiben vom 31.01.2019 des ... Landesamts für Steuern verwiesen wurde.
Der Beklagte beantragt,
die Klage abzuweisen.
Er trägt vor, die Klage sei unzulässig.
Es sei bereits nicht ersichtlich, was das Begehren des Klägers sei. Sollte das Begehren dahingehend zu verstehen sein, dass dieses auf eine Verpflichtung des Gerichts abziele, der vom Kläger begehrten Herausgabe von Daten zuzustimmen, stünde hierfür keine Klageart zur Verfügung.
Darüber hinaus sei die Klage auch unbegründet.
Für den vom Kläger vermeintlich geltend gemachten Anspruch auf Herausgabe von Daten sei der Beklagte der falsche Anspruchsgegner. Eine Herausgabe von Daten könne nur von der für die Datenverarbeitung verantwortlichen Stelle erfolgen. Da der Kläger die Herausgabe von Daten des Finanzamts A begehre, müsse sich der Kläger an diese Stelle wenden.
Der Bescheid des Beklagten sei rechtmäßig und verletzte den Kläger nicht in seinen Rechten. Nach Art. 77 Abs. 1 DSGVO (Verordnung EU 2016/679) habe jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht sei, dass die Verarbeitung der sie betreffenden Daten gegen die DSGVO verstoße. Nach Abs. 2 unterrichte die Aufsichtsbehörde, bei der die Beschwerde eingereicht worden sei, den Beschwerdeführer über den Stand der Ermittlungen und das Ergebnis. In Ermangelung eines Datenschutzverstoßes seitens des Finanzamts A sei die Beschwerde abzuweisen gewesen. Es hätten keine Anhaltspunkte für eine unzulässige Weitergabe von Daten bestanden. Mitteilungen an Arbeitgeber würden im Rahmen des Verfahrens ELStAM erfolgen. Im Streitfall erscheine es plausibel, dass der ehemalige Arbeitgeber aus anderen Quellen – insbesondere der persönlichen Bekanntschaft mit anderen Arbeitgebern des Klägers – Informationen über weitere Arbeitsverhältnisse erhalten habe. Neue Gesichtspunkte ergäben sich auch nicht aus der Klagebegründung.
Ergänzend sei darauf hinzuweisen, dass nach Art. 15 DSGVO i.V.m. § 32c AO kein Anspruch auf Information über den Namen der Mitarbeiter, die auf die ELStAM-Datei zugegriffen hätten, bestehe. Die Information, welche Mitarbeiter eines Verantwortlichen wann auf ein personenbezogenes Datum zugegriffen hätten, sei nicht vom Auskunftsanspruch nach Art. 15 DSGVO umfasst. Nach Art. 15 Abs. 1 Buchst. c DSGVO bestehe ein Recht auf Auskunft hinsichtlich der Empfänger oder Kategorien von Empfängern von personenbezogenen Daten. Der Begriff des Empfängers implizierte eine gewisse organisatorische oder institutionelle Eigenständigkeit der empfangenden Stelle. Daher seien Personen innerhalb der Organisation nicht als Empfänger anzusehen. Da die Mitarbeiter eines Finanzamts diesem als verantwortliche Stelle zuzurechnen seien, bestehe ein Auskunftsrecht insoweit nicht. Darüber hinaus habe das Finanzamt B bereits im Vorfeld mitgeteilt, dass sich die Abrufe der ELStAM-Daten durch einzelne Mitarbeiter technisch nicht feststellen ließen. Ein Verantwortlicher sei nicht verpflichtet, personenbezogene Daten allein zu dem Zweck zu speichern, um auf mögliche Auskunftsersuchen reagieren zu können. Dies folge aus dem Erwägungsgrund 64 Satz 2 zur DSGVO.
Schließlich habe der Kläger beim Finanzamt A keinen Antrag auf Auskunft hinsichtlich seiner personenbezogenen Daten gestellt, sondern sich lediglich an das Finanzamt B bzw. an das ... Staatsministerium der Finanzen und für Heimat gewendet. Soweit eine Verletzung eines Auskunftsrechts gerügt werde, sei für ein Tätigwerden der Aufsichtsbehörden ein vorheriger Antrag beim Verantwortlichen erforderlich.
Der Beklagte sei im Rahmen des Beschwerdeverfahrens allein verpflichtet, sich mit einer Beschwerde zu befassen, den Beschwerdegegenstand zu untersuchen und den Beschwerdeführer über den Fortgang und das Ergebnis der Untersuchung zu unterrichten. Das Beschwerderecht beinhalte keinen Anspruch auf bestimmte Untersuchungshandlungen oder das Ergreifen bestimmter Maßnahmen.
Entscheidungsgründe
Die Klage ist unbegründet.
1. Der Kläger hat in der mündlichen Verhandlung ausdrücklich der bisherigen Würdigung seines Klagebegehrens durch das Gericht im Rahmen des Gerichtsbescheides widersprochen und begehrt ausdrücklich die „Überprüfung“ der „Arbeit des Bundesdatenschutzbeauftragten“, da Verstöße der Finanzämter A bzw. B durch diesen nicht adäquat geprüft worden seien.
a. In der Sache versteht das Gericht den in der mündlichen Verhandlung ausdrücklich auf Wunsch des Klägers wörtlich aufgenommenen Antrag dahingehend, dass er die Aufhebung des angefochtenen Bescheides wegen rechtswidriger Behandlung seiner datenschutzrechtlichen Rüge begehrt, verbunden mit der Verpflichtung des Beklagten zur Neubescheidung. Da dem Beklagten zur Ermittlung von datenschutzrechtlichen Verstößen mehrere Handlungsmöglichkeiten offenstehen, kann das Gericht den Beklagten nicht zu bestimmten Maßnahmen verpflichten. Dass dem Beklagten nur eine gebundene Entscheidung offenstehen würde, hat der Kläger auch in der mündlichen Verhandlung nicht vorgetragen.
b. Ein Anspruch auf Neubescheidung steht dem Kläger jedoch nicht zu.
Gemäß Art. 78 Abs. 1 Datenschutz- Grundverordnung (DSGVO) hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelfe gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
Der Beklagte ist gemäß Art. 57 Abs. 1 f) DSGVO zuständig für die Befassung mit Beschwerden im Sinne von Art. 77 DSGVO. Den konkreten Untersuchungsumfang bei der Befassung mit einer Beschwerde regelt Art. 57 DSGVO nicht. Aus dem Erwägungsgrund 141 S. 2 zur DSGVO ergibt sich, dass die auf einer Beschwerde folgende Untersuchung soweit gehen sollte, wie dies im Einzelfall angemessen ist. Maßstab für den Umfang der Ermittlungen ist danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes. Dem Beschwerdeführer sind die Ergebnisse der Prüfung sowie die rechtliche Bewertung mitzuteilen (vgl. Becker in Plath, Art. 77 DSGVO, Rn. 10).
aa. Nach dieser Maßgabe hat der Beklagte seine Pflichten gegenüber dem Kläger erfüllt. Auf die Beschwerde des Klägers hin ist der Beklagte tätig geworden und hat die Beschwerde als unbegründet zurückgewiesen. Im Ergebnis ist der Beklagte zu dem Schluss gekommen, dass außerhalb der vom Kläger geäußerten Vermutungen keine konkreten Anhaltspunkte dafür vorliegen, dass durch Mitarbeiter des Finanzamts A Verstöße gegen datenschutzrechtliche Vorschriften begangen worden sind. Weitere Ermittlungsmaßnahmen seien nicht erfolgversprechend, da nach Mitteilung der ... Finanzverwaltung keine Aufzeichnungen über Zugriffe auf solche Daten geführt würden, die die Arbeitsverhältnisse des Klägers beträfen. Der Beklagte hat somit den Sachverhalt ermittelt, indem er das Beschwerdevorbringen des Klägers sowie die von diesem vorgelegten Stellungnahmen der ... Finanzverwaltung zur Kenntnis genommen hat. Das Ergebnis der Ermittlungen sowie die rechtliche Beurteilung hat er dem Kläger mitgeteilt. Darüber hinaus hat der Beklagte den Kläger auf die Möglichkeit des gerichtlichen Rechtsschutzes gegen die Beschwerdeentscheidung gemäß Art. 78 DSGVO hingewiesen. Im Ergebnis ist der Beklagte damit seinen Pflichten aus Art. 57 Abs. 1 f) i.V.m. Art. 77 DSGVO nachgekommen. Die erst im Klageverfahren erfolgten – in der Sache wenig substantiierten – Hinweise des Klägers zu Äußerungen einer einzelnen Person am Rande von arbeitsgerichtlichen Verfahren, konnte der Beklagte im Rahmen seiner Beschwerdebearbeitung noch nicht berücksichtigen.
bb. Eine darüber hinausgehende gerichtliche Prüfung, ob die Beschwerdeentscheidung des Beklagten inhaltlich zutreffend ist, sehen die Regelungen der DSGVO nicht vor. Aus Art. 78 Abs. 2 DSGVO ergibt sich, dass ein Beschwerdeführer nur beanspruchen kann, dass sich die Behörde mit seiner Beschwerde überhaupt befasst und ihn innerhalb der dort genannten Zeiträume über den Stand und das Ergebnis der Beschwerdebearbeitung unterrichtet. Auch aus Art. 78 Abs. 1 DSGVO ergibt sich kein Anspruch auf eine gerichtliche Überprüfung der materiellen Richtigkeit einer Beschwerdeentscheidung. Insoweit folgt das Gericht ausdrücklich der verwaltungsgerichtlichen Rechtsprechung, wonach das Beschwerderecht gemäß Art. 77 Abs. 1 DSGVO lediglich petitionsähnlich ausgestaltet ist und somit nur einer eingeschränkten richterlichen Kontrolle unterliegt. Eine im einschlägigen Rechtsweg erhobene Klage kann sich deshalb nur auf die Prüfung der ordnungsgemäßen Entgegennahme, Prüfung und Bescheiderteilung, nicht jedoch auf die „Richtigkeit“ oder das Ergebnis einer Prüfung beziehen. Gegen die inhaltliche Prüfung einer aufsichtsbehördlichen Entscheidung spricht darüber hinaus, dass ein Betroffener neben seinem Beschwerderecht gegenüber der Aufsichtsbehörde auch die Möglichkeit hat, gemäß Art. 79 DSGVO gegenüber dem Verantwortlichen um Rechtsschutz nachzusuchen. Hierbei handelt es sich im Gegensatz zum Beschwerdeverfahren um ein kontradiktorisches Verfahren, dass zwischen den Beteiligten rechtsverbindlich klärt, ob der um Rechtsschutz Nachsuchende durch einen datenschutzrechtlichen Verstoß betroffen ist (vgl. zum Ganzen: OVG Rheinland-Pfalz, Urteil vom 26.10.2020, 10 A 10613/20, juris).
cc. Nach Maßgabe dieser Grundsätze steht dem Kläger kein Anspruch auf Neubescheidung seiner Beschwerde durch den Beklagten zu. Dieser hat die Beschwerde zur Kenntnis genommen, inhaltlich geprüft und das Ergebnis dem Kläger mitgeteilt. Der Beklagte ist seiner Untersuchungspflicht nachgekommen, indem er das Beschwerdevorbringen des Klägers und die von diesem vorgelegte Stellungnahme der ... Finanzverwaltung – wonach nicht feststellbar ist, ob und gegebenenfalls welche Mitarbeiter der Finanzverwaltung auf die ELStAM-Daten des Klägers zugegriffen haben – zur Kenntnis genommen und beurteilt hat. Ein Anspruch auf weitergehende Ermittlungsmaßnahmen durch den Beklagten steht dem Kläger nicht zu.
Soweit der Kläger im Laufe des Klageverfahrens die Auffassung vertreten hat, es bestünde ein Anspruch auf Herausgabe von Log-Daten, so hätte er diesen Anspruch selbst gegenüber dem Finanzamt A – notfalls im Klagewege – geltend machen können und müssen. Entsprechende Ansprüche hat er jedoch – und dies hat er in der mündlichen Verhandlung auch noch einmal ausdrücklich erklärt – zu keinem Zeitpunkt gegenüber dem Finanzamt A geltend gemacht.
2. Die Kostenentscheidung beruht auf § 135 Abs. 1 FGO.
3. Die Entscheidung über den Streitwert beruht auf den §§ 52, 63 GKG.