Bayern kündigt Milde bei Datenschutz-Erstverstößen an

Hinweise und Beratung hätten Vorrang vor Sanktionen. Die Staatsregierung werde mit den Betroffenen weitere Bestimmungen im Datenschutzrecht identifizieren, bei denen mit die Ziele der DS-GVO „sachgerecht und mit Augenmaß“ zu verfolgen seien. Außerdem werde die bayerische Staatsregierung „eine Praxis von Abmahnanwälten, die glauben, bei Unternehmen formelle Datenschutzverstöße rechtsmissbräuchlich abmahnen und abkassieren zu können, nicht hinnehmen“. Auch die Vereine hat die Regierung im Blick: Kein Amateursportverein, keine Musikkapelle „und sonstige vor allem durch ehrenamtliches Engagement getragene Vereine“ müsse einen Datenschutzbeauftragten bestellen. Die Veröffentlichung findet sich im Ministerialblatt auf Seite 3.

Anmerkung: Es handelt sich um eine unverbindliche Absichtserklärung. Die Landesdatenschutzbeauftragten, auch der bayerische, sind keinen Weisungen der Landesregierung unterworfen, sondern unabhängige Aufsichtsbehörde. Das regelt z.B. das bayerische Datenschutzgesetz.

Auch kann die bayerische Staatsregierung nicht per Dekret gegen Abmahnungen vorgehen. Sie ist gar nicht zuständig. Bei Abmahnungen sind die Zivilgerichte zuständig. Diese müssen prüfen, ob eine Abmahnung gegebenenfalls rechtsmissbräuchlich ist, wenn der Abgemahnte dies einwendet. Dazu muss das Verfahren aber erst einmal von einer der Parteien vor Gericht gebracht worden sein. Daran kann es fehlen, wenn weder der Abmahner noch der Abgemahnte das damit verbundene Gebührenrisiko eingehen wollen. Sofern Datenschutzverstöße von Mitbewerbern als Wettbewerbsverstoß gerügt und abgemahnt werden, gilt das Gesetz gegen unlauteren Wettbewerb (UWG). Darin ist schon jetzt geregelt, dass der Empfänger einer rechtsmissbräuchlichen Abmahnung vom Gegner die Erstattung seiner eigenen Anwaltskosten fordern kann. Allerdings ist die Hürde für den Nachweis eines Rechtsmissbrauchs nach § 8 Abs. 4 UWG recht hoch. Ein solcher Nachweis kann meist erst dann geführt werden, wenn belastbare Informationen darüber vorliegen, dass das Abmahnungen aussprechende Unternehmen eine Abmahntätigkeit entfaltet hat, die in keinem vernünftigen Verhältnis zu seinem eigentlichen Geschäftsumfang steht. Das ist bislang nur in wenigen bekannt gewordenen Fällen gelungen. 

Was den Datenschutzbeauftragten betrifft, kann die bayerische Staatsregierung das neue Bundesdatenschutzgesetz auch nicht einfach aushebeln: Dort ist in § 38 unter anderem geregelt, dass nicht öffentliche Stellen ab einer Zahl von 10 Beschäftigten, die „ständig“ mit personenbezogenen Daten umgehen, einen Datenschutzbeauftragten bestellen müssen. Das wird tatsächlich auf viele ehrenamtliche Vereine nicht zutreffen. Dies ist jedoch nicht das Verdienst der bayerischen Staatsregierung, sondern auch das hat bereits der Bundesgesetzgeber geregelt. Die Annahme der bayerischen Staatsregierung, wonach „sonstige vor allem durch ehrenamtliches Engagement getragene Vereine“ keinen Datenschutzbeauftragten benötigten, muss auch nicht in allen Fällen richtig sein. Denkbar ist zum Beispiel, dass in einer NGO oder einem karitativen Verein mehr als 10 Mitarbeiter, zum Beispiel mit E-Mail-Programmen wie Outlook oder Thunderbird, ständig personenbezogene Daten verarbeiten. Dabei werden auch in einem Verein die ehrenamtlichen Mitarbeiter oder auch Teilzeitstellen voll mitgezählt (Bayerisches Landesamt für Datenschutzaufsicht, „Erste Hilfe zur DS-GVO“, Seite 34). 

Zusammengefasst ließe sich der Beschluss zwar auf einen Bierdeckel drucken, erscheint aber nicht in vergleichbarer Weise belastbar. Vereine und Unternehmen sollten anstatt auf die Mitteilung der bayerischen Staatsregierung lieber auf die hervorragenden Arbeitshilfen des Bayerischen Landesamts für Datenschutzaufsicht  vertrauen.  

Mehr zum Thema: Datenschutz und Bildnutzung - Was ändert sich durch die DS-GVO