VW hat Datenschutz bei Aufarbeitung des Dieselskandals teilweise nicht beachtetDrei von fünf gegen VW ausgesprochene Verwarnungen des Landes­da­ten­schutz­be­auf­tragten halten gerichtlicher Überprüfung stand

Anlass für das Einschreiten des LfD war, dass VW mehrere Vergleiche und Vereinbarungen mit US-Behörden im Zusammenhang mit dem sogenannten Dieselskandal geschlossen hatte, um laufende Strafverfahren und zivil­ge­richtliche Klagen in den USA zu beenden. Dazu wurde ein sog. Monitorship durchgeführt. Ziel dieses Verfahrens war es, neue Compliance-Strukturen einzuführen und bestehende Strukturen zu verbessern, um entsprechende Vorkommnisse in Zukunft zu unterbinden. Hierzu wurde als Monitor ein ehemaliger stell­ver­tre­tender US-General­staats­anwalt eingesetzt.

Der LfD sprach gegenüber VW eine erste Verwarnung aus, weil VW im Rahmen des Monitorships eine Liste mit 22 Klarnamen von ehemaligen und aktiven Beschäftigten, die zum Zeitpunkt des Dieselskandals in relevanten Bereichen des Unternehmens gearbeitet hatten, an den Monitor herausgegeben hat. Die Überschrift der Liste enthielt die Bezeichnung "direct knowledge". Der LfD verwarnte VW, weil er die von VW durchgeführte Inter­es­se­n­ab­wägung vor der Offenlegung der Liste an den Monitor für fehlerhaft hielt. Das Gericht folgte dem nicht und hob diese Verwarnung auf. Es konnte in der von VW durchgeführten Inter­es­se­n­ab­wägung keine Fehler erkennen. Vielmehr hat VW - entgegen der Ansicht des LfD - das Risiko, dass Personen auf der Liste zum Ziel straf­recht­licher Ermittlungen in den USA bzw. bereits bestehende Ermitt­lungs­ver­fahren auf sie ausgedehnt werden könnten, zutreffend als gering bewertet und es fehlerfrei in die Abwägung eingestellt.

Die weitere Verwarnung, mit der der LfD VW vorwarf, im Rahmen des sog. "Fast Lane Prozesses" gegen Daten­schutzrecht verstoßen zu haben, hob das Gericht ebenfalls auf. Im Rahmen des Fast Lane Prozesses, der im Laufe des Monitorships eingerichtet wurde, übermittelte VW dem Monitor bestimmte Dokumente, in denen ausschließlich pseud­ony­mi­sierte Daten der betroffenen Beschäftigten enthalten waren, per E-Mail. Diese Übermitt­lungsart wurde im Monitorship nur für bestimmte Dokumente gewählt und entsprach nicht der Regel. Seine Verwarnung stützte der LfD auf den Umstand, dass VW die E-Mails lediglich trans­port­ver­schlüsselt übermittelte. Er ist der Ansicht, dass VW vor dem Hintergrund, dass es sich um schutz­be­dürftige Daten handele, eine Ende-zu-Ende-Verschlüsselung hätte wählen müssen. Das Gericht folgte dem nicht, sondern hält die Trans­port­ver­schlüs­selung für ausreichend. Denn die Daten waren - anders als der LfD meint - nicht besonders schutzbedürftig und enthielten darüber hinaus keine Klarnamen, weil sie in den übersandten Dokumenten durch Verwendung der Personalnummern der betroffenen Beschäftigten oder anderen Nummerierungen pseudonymisiert waren. Der LfD konnte das Gericht von seiner Annahme, dass ein hohes Angriff­s­in­teresse auf die Daten bestehe, was eine Ende-zu-Ende-Verschlüsselung erfordere, nicht überzeugen. Das Gericht ist der Ansicht, dass das Risiko eines Angriffs auf die Daten während der Übermittlung gering war, weshalb die Trans­port­ver­schlüs­selung ausreichend gewesen ist. Hierfür spricht auch, dass potentielle Angreifer die pseud­ony­mi­sierten Daten keinen indivi­du­a­li­sierten Personen hätten zuordnen können, sondern wegen der Pseud­ony­mi­sierung den entsprechenden Zuord­nungs­sch­lüssel benötigt hätten, der jedoch nicht Gegenstand der Übermittlung gewesen ist.

Im Gegensatz hierzu hielten die drei weiteren Verwarnungen der gerichtlichen Prüfung stand.

Anlässlich des Monitorships verwarnte der LfD VW ein drittes Mal, weil VW ihre Beschäftigten vor der Herausgabe einer Vielzahl an perso­nen­be­zogenen Daten, die teilweise pseudonymisiert und teilweise auch Klarnamen enthielten, hierüber nicht ausreichend im Sinne der DSGVO informiert habe. Anders als VW argumentiert, ist das Gericht zu der Einschätzung gelangt, dass die nach den Personalnummern oder anderen Nummerierungen pseud­ony­mi­sierten Daten der Beschäftigten perso­nen­be­zogene Daten im Sinne der DSGVO darstellen und aus Sicht des Monitors auch nicht anonym waren. Denn der Monitor hätte die Möglichkeit gehabt, mit vertretbarem Aufwand die entsprechenden Zuord­nungs­sch­lüssel anzufordern. Zudem ist das Gericht der Überzeugung, dass die Herausgabe der Daten an den Monitor eine Weiter­ver­a­r­beitung zu einem anderen Zweck als dem Zweck darstellt, zu dem die Daten der Beschäftigten erhoben wurden. Das Monitorship dient weder dem Zweck des Beschäf­ti­gungs­ver­hält­nisses, noch stellt es eine Verteidigung von Rechts­ansprüchen von VW dar. Zwar konnte VW nachweisen, dass sie ihren Mitarbeitenden diverse Informationen über das Monitorship, u.a. im Intranet, zur Verfügung gestellt hat, jedoch sind diese Informationen nach Ansicht des Gerichts zum einen zu pauschal gehalten und zum anderen genügt das bloße Einstellen von Mitteilungen im Intranet ohne zusätzlichen Hinweis an die (betroffenen) Mitarbeitenden den Infor­ma­ti­o­ns­pflichten der DSGVO nicht.

Außerdem sprach der LfD zwei Verwarnungen aus, die die sog. "EPA-Auditierung" betrafen. VW schloss mit der US-Umweltbehörde eine weitere Verwal­tungs­ver­ein­barung, um zukünftig nicht von der Vergabe öffentlicher Aufträge ausgeschlossen zu werden. Diese Vereinbarung führte unter anderem zur Durchführung einer zusätzlichen Auditierung. Der hierfür eingesetzte Auditor sollte insbesondere das interne Compliance Management-System fortentwickeln und dessen Einhaltung überwachen.

Auch hier sah der LfD zu Recht - ähnlich wie bei der zuletzt dargestellten Verwarnung - einen Verstoß gegen die Infor­ma­ti­o­ns­pflicht, weil VW ihre Beschäftigten vor der Herausgabe ihrer Daten an den Auditor nicht ausreichend informiert hatte, obwohl diese Daten­ver­a­r­beitung ebenfalls eine Zweckänderung darstellte. Zwar handelte es sich auch hier ausschließlich um pseud­ony­mi­sierte Daten, die jedoch - wie bei der zuletzt dargestellten Verwarnung - perso­nen­be­zogene Daten im Sinne der DSGVO darstellen, da auch der Auditor die Herausgabe des entsprechenden Zuord­nungs­sch­lüssels mit vertretbarem Aufwand hätte verlangen können. Die zur Verfügung gestellten Informationen waren ebenfalls zu pauschal oder wurden den Betroffenen zu spät ausgehändigt.

Schließlich sprach der LfD eine letzte Verwarnung aus, weil VW zu Beginn der Auditierung kein sog. Verar­bei­tungs­ver­zeichnis erstellt hatte. Ein Verar­bei­tungs­ver­zeichnis soll der Aufsichts­behörde einen ersten Eindruck verschaffen, ob der Datenschutz bei den entsprechenden Daten­ver­a­r­bei­tungen gewahrt wird. Im Laufe der Auditierung holte VW dies zwar nach, stellte sich aber auf den Standpunkt, dass ein eigenes Verar­bei­tungs­ver­zeichnis für die Auditierung nicht erforderlich sei, sondern auf das Verzeichnis des Monitorships zurückgegriffen werden könne. Das Gericht hält die Verwarnung des LfD für rechtmäßig, da ein Verstoß gegen die DSGVO vorliegt. Zwar ist der Verstoß aus Sicht des Gerichts als gering zu bewerten, da ein Verar­bei­tungs­ver­zeichnis noch während der Auditierung erstellt worden ist. Allerdings ist die Ermes­sen­s­er­wägung des LfD, eine Verwarnung auszusprechen, um VW vor Augen zu führen, dass ihre Ansicht unzutreffend ist, rechtlich nicht zu beanstanden.

Gegen das Urteil kann die Zulassung der Berufung beim Nieder­säch­sischen Oberver­wal­tungs­gericht beantragt werden.