OVG Schleswig: Online-Unternehmen muss sich beim E-Mail-Marketing ggü. Datenschutzbehörde nicht selbst belasten

Ein Online-Unternehmen muss sich ggü. einer Datenschutzbehörde, die bestimmte Auskünfte verlangt, nicht selbst belasten, sondern hat grundsätzlich ein Auskunftsverweigerungsrecht. Dies gilt jedoch nur für solche Fragen, bei denen die Gefahr besteht, dass ein Strafverfahren oder eine Ordnungswidrigkeit droht (OVG Schleswig, Beschl. v. 28.05.2021 - Az.: 4 MB 14/21).

Die Klägerin betrieb einen Online-Versand für Kosmetikprodukte und bewarb diesen auch mittels E-Mail-Marketing. Bei der zuständigen Datenschutzbehörde beschwerten sich im Jahr 2019 sieben verschiedene Personen, die behaupteten, dass die Klägerin ihnen Spam-Mails zugeschickt habe. Es habe weder eine Kundenbeziehung bestanden noch sei eine Einwilligung erteilt worden.

Daraufhin wandte sich die Behörde an die Klägerin und verlangte schriftlich mehrere Auskünfte:

Frage 1: Von welchen Verantwortlichen und Auftragsverarbeitern und für Werbezwecke werden Daten verarbeitet?
Frage 2: Welche personenbezogenen Daten werden konkret erhoben?
Frage 3: Frage nach den Technisch-Organisatorischen Maßnahmen (TOM) und dem Verfahrensbverzeichnis?
Frage 4: Wie viele Personen seien von den Maßnahmen betroffen?
Frage 5: Einhaltung der datenschutzrechtlichen Informationspflichten nach Art. 14 DSGVO

Das Amt drohte pro nicht erteilter Auskunft ein Zwangsgeld iHv. 200,- EUR an.

Das betroffene Unternehmen lehnte eine Beantwortung ab und berief sich im weiteren Verlauf auf ihr Auskunftsverweigerungsrecht, da sie sich selbst belasten wollte.

Die Datenschutzbehörde verhängte daraufhin ein Zwangsgeld iHv. 1.000,- EUR (= 5 Fragen a 200,- EUR).

Hiergegen ging die Klägerin nun gerichtlich vor.

Vor dem OVG Schleswig bekam sie jedoch nur teilweise Recht.

Hinsichtlich der Fragen 3 und 5 sei die Verhängung eines Zwangsgeldes rechtswidrig, so die Richter. Bei den anderen Punkten hingegen sei das Vorgehen der Behörde nicht zu beanstanden.

Grundsätzlich müsse sich kein Betroffener selbst belasten, indem er der Datenschutzbehörde Auskünfte erteile und sich damit einem Straf- oder Ordnungswidrigkeiten aussetze. Für ein solches Auskunftsverweigerungsrecht sei es nicht notwendig, dass eine tatsächliche Gefahr einer Rechtsverfolgung bestünde. Vielmehr reiche es bereits aus, wenn dies ernsthaft möglich erscheine:

"Die Ausübung des Auskunftsverweigerungsrechts des § 40 Abs. 4 Satz 2 BDSG ist nur insoweit berechtigt, wie der an sich zur Auskunft Verpflichtete die Auskunft auf solche Fragen verweigert, deren Beantwortung ihn der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Es gibt kein generelles, umfassendes Schweigerecht, und es muss dem Betroffenen eine bestimmte "Gefahrenlage" drohen (...).

Für das Bestehen einer solchen Gefahrenlage bedarf es nicht der sicheren Erwartung einer Bestrafung oder Sanktionierung in Anknüpfung an die Erteilung der Auskunft. Indessen genügt auch nicht die bloße Vermutung oder theoretische Möglichkeit einer solchen.

Notwendig, aber auch hinreichend ist, dass die Einleitung eines strafgerichtlichen Verfahrens oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten nach den konkreten Umständen des Einzelfalls ernsthaft möglich erscheint (...)."

Mittels dieses Maßstabs bewertete das Gericht im Einzelnen nun die fünf Fragen. Und kam bei Frage 1  2 und 4  zu keiner Gefahr einer Selbstbelastung: 

"Ein Verstoß gegen Art. 5 und Art. 6 DSGVO, der hier zur Einleitung eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten führen könnte, ergibt sich nicht a priori aus der Beantwortung dieser Fragen, die darauf abzielen aufzuklären, von welchen Verantwortlichen und Auftragsverarbeitern die Antragstellerin Daten erhebt und für Werbezwecke verarbeitet (Frage 1), welche personenbezogenen Daten insoweit erhoben werden (Frage 2) und wie viele Personen betroffen sind (Frage 4).

Allein die Benennung von Verantwortlichen und Auftragsverarbeitern, die Angabe, um welche personenbezogenen Daten es sich dabei handelt bzw. wieviele Personen betroffen sind, lassen noch keinen Verstoß gegen die Grundsätze der Verarbeitung personenbezogener Daten erkennen. Die Rechtswidrigkeit der Datenverarbeitung erfordert das Hinzutreten weiterer Umstände, wie beispielsweise das Fehlen einer Einwilligung zur Datenverarbeitung."

Nach Auffassung des OVG Schleswig hätte das betroffene Online-Unternehmen somit nicht die Auskunft auf diese Fragen verweigern dürfen.

Anders hingegen seien die Fragen 3 und 5 zu bewerten. Hier existiere ein reales Risiko, sodass ein Auskunftsverweigerungsrecht bestünde:

"Die Fragen 3 und 5 (...), zielen anders als die Fragen 1, 2 und 4, auf die Einholung von solchen Auskünften ab, die die Antragstellerin der Gefahr eines Verfahrens nach dem Gesetz über die Ordnungswidrigkeiten aussetzen können.

Aus der Beantwortung der Frage 3 kann sich unmittelbar ergeben, dass die Antragstellerin die Verpflichtungen aus Art. 24 und Art. 32 DSGVO nicht erfüllt, was gemäß Art. 83 Abs. 4 lit. a DSGVO mit Geldbuße von bis zu 10 Millionen Euro oder bis zu 2 % des Jahresumsatzes des Unternehmens belegt werden kann (...).

Ebenfalls sanktioniert werden Verstöße gegen die Informationspflichten, die gemäß Art. 14 DSGVO bestehen, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, vgl. Art. 83 Abs. 5 lit. d DSGVO (...)."

In diesen beiden Fällen sei es daher rechtswidrig gewesen, ein Zwangsgeld zu verhängen.

Anmerkung von RA Dr. Bahr:
Ob die Fragen 1, 2 und 4 tatsächlich so unproblematisch zu beantworten sind wie das Gericht hier behauptet, kann mit guten Argumenten bezweifelt werden. Denn bereits durch diese Informationen kann sich der Betroffene - zumindest teilweise - selbst belasten. Die Antworten können zahlreiche Details enthalten, die die spätere Verhängung einer Ordnungswidrigkeit deutlich erleichtern oder gar erst ermöglichen.

Jedem betroffenen Unternehmen sollte aber klar sein, dass, selbst wenn es sich erfolgreich auf ein Auskunftsverweigerungsrecht beruft, am Ende eines ins Haus steht: Eine umfangreiche Datenschutzprüfung durch die Behörde, häufig vor Ort.

Ob das Geltendmachen einer Auskunftsverweigerung daher tatsächlich sinnvoll ist, kann nur in jedem konkreten Einzelfall beantworten werden. Die Praxis zeigt aber, dass eine kooperative Verhaltensweise häufig ein sinnvolleres Vorgehen ist und am Ende, für alle Beteiligten, mit einem annehmbaren Ergebnis endet.