Betroffener einer Datenschutz­verletzung hat keinen Anspruch gegen datenschutz­rechtliche Aufsichts­behörde auf Verhängung einer Geldbuße oder sonstiger Abhil­fe­maß­nahmenAufsichts­behörde muss nicht zwingend Sanktion verhängen

In Deutschland stellte eine Sparkasse fest, dass eine Mitarbeiterin mehrmals unbefugt auf perso­nen­be­zogene Daten eines Kunden zugegriffen hatte. Die Sparkasse setzte den Kunden hiervon nicht in Kenntnis, da ihr Daten­schutz­be­auf­tragter der Ansicht war, dass für diesen Kunden kein hohes Risiko bestehe. Denn die Mitarbeiterin hatte schriftlich bestätigt, dass sie die Daten weder kopiert oder gespeichert noch an Dritte übermittelt habe und dass sie dies auch zukünftig nicht tun werde. Außerdem hatte die Sparkasse gegen die Mitarbeiterin Diszi­pli­n­a­r­maß­nahmen ergriffen. Gleichwohl meldete die Sparkasse diesen Verstoß dem Landes­da­ten­schutz­be­auf­tragten. Nachdem der Kunde nebenbei von diesem Vorfall Kenntnis erlangt hatte, reichte er bei dem Landes­da­ten­schutz­be­auf­tragten eine Beschwerde ein. Nach Anhörung der Sparkasse teilte der Landes­da­ten­schutz­be­auf­tragte dem Kunden mit, dass er es nicht für erforderlich halte, gegen die Sparkasse Abhil­fe­maß­nahmen zu ergreifen. Der Kunde erhob daraufhin Klage bei einem deutschen Gericht und beantragte, den Landes­da­ten­schutz­be­auf­tragten zum Einschreiten gegen die Sparkasse zu verpflichten und insbesondere dazu, gegen die Sparkasse eine Geldbuße zu verhängen. Das VG Wiesbaden hat den Gerichtshof ersucht, die Datenschutz-Grundverordnung (DSGVO) im Hinblick auf diese Fragestellung auszulegen.

Ermessen der Aufsichts­behörde

In seinem Urteil antwortet der EuGH, dass die Aufsichtsbehörde im Fall der Feststellung einer Verletzung des Schutzes perso­nen­be­zogener Daten nicht verpflichtet ist, eine Abhilfemaßnahme zu ergreifen, insbesondere eine Geldbuße zu verhängen, wenn dies nicht erforderlich ist, um der festgestellten Unzuläng­lichkeit abzuhelfen und die umfassende Einhaltung der DSGVO zu gewährleisten. Ein solcher Fall könnte u. a. dann vorliegen, wenn der für die Verarbeitung Verantwortliche, sobald er von der Verletzung Kenntnis erlangt hat, die erforderlichen Maßnahmen ergriffen hat, damit die Verletzung abgestellt wird und sich nicht wiederholt.

Die DSGVO räumt der Aufsichts­behörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzuläng­lichkeit abhilft. Dieses Ermessen wird durch das Erfordernis begrenzt, durch den klar durchsetzbaren Rechtsrahmen der DSGVO ein gleichmäßiges und hohes Schutzniveau für perso­nen­be­zogene Daten zu gewährleisten.