Vorsicht Ermessensfehler: Warum DSGVO-Verwarnungen keineswegs das „mildeste Mittel“ der Aufsichtsbehörden sind
Autor: Lasse Konrad Erstellt am: 7. März 2023 Rubrik: Bußgeld, Datenschutzbehörde, DatenschutzrechtBei den Aufsichtsbehörden erfreuen sich Verwarnungsbescheide großer Beliebtheit. Der Datenschutzverstoß wird festgestellt, die Verwarnung ausgesprochen, die Akte geschlossen. Zum Ermessen heißt es dann oft nur lapidas, die Verwarnung sei das „mildeste Mittel“, um den Verstoß zu sanktionieren. Aber verhält sich dies wirklich so?
Die DSGVO nennt Sanktionen „Abhilfebefugnisse“ und listet sie in Art. 58 Abs. 2 DSGVO im Einzelnen auf – von Art. 58 Abs. 2 lit. a DSGVO („Warnung“) bis Art. 58 Abs. 2 lit. j DSGVO („Exportverbot“). Eine Reihenfolge der „Sanktionsschärfe“ lässt sich Art. 58 Abs. 2 DSGVO nicht entnehmen.
Die Verwarnung ist in Art. 58 Abs. 2 lit. b DSGVO geregelt. Sie kann folgenreich sein, denn mit der Bestandskraft eines Verwarnungsbescheids steht ein Datenschutzverstoß fest. Kommt es später zu weiteren Verstößen und zu einem Bußgeld, kann dies teuer werden. Nach Art. 83 Abs. 2 Satz 2 lit. e DSGVO sind „einschlägige frühere Verstöße“ ein Kriterium, das eine Erhöhung des Bußgelds rechtfertigt.
Im Vergleich zum Bußgeld ist die Verwarnung dennoch fraglos ein „milderes Mittel“, da sie mit keiner Zahlungspflicht verbunden ist. Ähnlich wie das Bußgeld wirkt die Verwarnung strafend-repressiv und nicht vorbeugend-präventiv. Dies unterscheidet Verwarnung und Bußgeld von allen anderen Sanktionen, die in Art. 58 Abs. 2 DSGVO vorgesehen sind. Die Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO ähnelt der bußgeldrechtlichen Verwarnung nach § 56 OWiG. Einziger (aber gravierender) Unterschied: Anders als die Verwarnung nach § 56 OWiG bedarf es bei einer Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO keiner Zustimmung des Verantwortlichen.
Alle anderen Sanktionen, die in Art. 58 Abs. 2 DSGVO vorgesehen sind, sind weder „milder“ als eine Verwarnung oder ein Bußgeld noch „schärfer“. Hat die Aufsichtsbehörde beispielsweise die Wahl, nach Art. 58 Abs. 2 lit. g DSGVO eine Löschung von Personendaten anzuordnen oder nach Art. 58 Abs. 2 lit. b DSGVO eine Verwarnung auszusprechen, so geht es um zwei ganz unterschiedliche „Abhilfebefugnisse“. Die Sanktionen sind „anders“, ohne dass sie sich nach ihrer Eingriffstiefe abstufen lassen.
Wenn einer Aufsichtsbehörde bei einem Datenschutzverstoß verschiedene Sanktionen zur Verfügung stehen, deren „Milde“ oder „Schärfe“ sich nicht sinnstiftend unterscheiden lässt, kann die (angebliche) „Milde“ einer Verwarnung keine Begründung sein, auf die sich eine solche Verwarnung bei der Ausübung des behördlichen Sanktionsermessens stützen lässt. Die Behörde muss sich fragen lassen, ob nicht ein Ermessensfehler vorliegt, wenn sie nicht einmal erwägt, von einem ihrer vorbeugend-präventiven Befugnisse nach Art. 58 Abs. 2 DSGVO Gebrauch zu machen.
Bei der Wahl zwischen Löschungsanordnung (Art. 58 Abs. 2 lit. g DSGVO) und Verwarnung (Art. 58 Abs. 2 lit. b DSGVO) ist die Löschungsanordnung beispielsweise ungleich wirkungsvoller. Anders als bei einer Verwarnung ist die Beendigung des Datenschutzverstoßes die unmittelbare Folge einer Anordnung. Belässt es die Aufsichtsbehörde in einem solchen Fall bei einer Verwarnung, liegt ein Ermessensfehler vor, da die Behörde bei der Auswahl der Sanktionen nicht das effektivste Mittel gewählt hat, das am besten geeignet ist, den datenschutzwidrigen Zustand zu beenden.
Das Beispiel zeigt, dass es verkehrt ist, die Verwarnung als „mildestes Mittel“ zu bezeichnen, um einen Datenschutzverstoß nach Art. 58 Abs. 2 DSGVO zu sanktionieren. Denn die Formulierung impliziert, dass sich die Verwarnung nicht nur mit dem Bußgeld, sondern auch mit den anderen „Abhilfebefugnissen“ des Art. 58 Abs. 2 DSGVO sinnvoll vergleichen lässt. Wer jedoch die Schärfe oder Milde repressiver und präventiver „Mittel“ vergleicht, vergleicht Äpfel mit Birnen. Ins Verwaltungsrecht übersetzt nennt man dies einen Ermessensfehler.
Rubrik: Bußgeld, Datenschutzbehörde, Datenschutzrecht