Im lange schon andauernden Verfahren von Max Schrems gegen Facebook vor dem Landesgericht für Zivilrechtssachen in Wien ist nun ein Urteil erster Instanz gefällt worden.

 

Das Gericht sprach Max Schrems EUR 500,-- an Schadenersatz zu, weil sein Auskunftsbegehren vom Verantwortlichen nicht ausreichend beantwortet wurde.

Auskunftsanspruch kann auch durch Klage durchgesetzt werden

 

Das Gericht hat Facebook Ireland Ltd. verurteilt, dem Kläger „binnen 14 Tagen schriftlich und kostenlos vollständig Auskunft über alle von ihr verarbeiteten personenbezogenen Daten des Klägers unter Angabe des genauen jeweiligen Zwecks, wenn immer möglich der genauen Herkunft und gegebenenfalls der genauen Empfänger der Daten, zu erteilen.“

 

 

In der DSGVO findet sich in Art 15 DSGVO der Anspruch auf Auskunft der betroffenen Person gegen den Verantwortlichen. Die betroffene Person wendet sich an den Verantwortlichen mit einem Auskunftsersuchen. Wenn dieses Ersuchen innerhalb der Frist von 1 Monat (verlängerbar auf 3 Monate) nicht oder nicht vollständig erfüllt wird, kann die betroffene Person diesen Anspruch mit behördlicher Hilfe durchsetzen.

 

 

Die betroffene Person hat zwei Möglichkeiten.

 

 

 

Beschwerde an eine Aufsichtsbehörde

 

Die betroffene Person kann sich mit einer Beschwerde an die Aufsichtsbehörde gem. § 24 DSG, in Österreich die Österreichische Datenschutzbehörde wenden; diese führ ein Verwaltungsverfahren auf Basis des Allgemeinen Verwaltungsverfahrensgesetzes (AVG) durch und kann dem Verantwortlichen einen Leistungsauftrag gem. Art 58 Abs 2 DSGVO erteilen.

 

 

Dieser Leistungsauftrag erfolgt mit Bescheid ist mit einer Frist verbunden und kann zB wie folgt lauten:

Sollte der Verantwortliche die Auskunft nach dem bescheidmäßigen Auftrag nicht erteilen, dann wird die Behörde den Bescheid „vollstrecken“.

 

 

Die DSB hatte sich bereits früher mit „Anträgen auf Vollstreckung“ zu beschäftigen wobei diese als „Ersuchen an die Behörde“ gewertet wurden:

 

 

„Soll im Falle eines – antragsgebundenen – Beschwerdeverfahrens wegen Verletzung der Auskunftspflicht gem. § 26 DSG 2000 die Einleitung des Vollstreckungsverfahrens bewirkt werden, hat dies durch Ersuchen der Datenschutzkommission als Titelbehörde an die Vollstreckungsbehörde auf Antrag des Auskunftsberechtigten zu geschehen. Weitere Bedingung für die rechtmäßige Stellung eines Vollstreckungsersuchens ist, dass die Vollstreckung nicht zwischenzeitig – etwa wegen zweifelsfreier Erbringung der Leistung – unzulässig geworden ist.“ (K073.025/0007-DSK/2005; noch als Datenschutzkommission)

 

 

 

Auch bereits im Rahmen des DSG wurde die Vollstreckung von Bescheiden der DSK / DSB thematisiert, doch die DSK / DSB war dafür nicht zuständig, da keine Leistungsaufträge, sondern nur Feststellungbescheide möglich waren:

 

 

„Einer Vollstreckung zugänglich sind nur Leistungsbescheide, dh solche Verwaltungsakte, die eine –relativ bestimmte – Verpflichtung (Erbringung einer Leistung, Duldung, Unterlassung) normieren. Rechtsgestaltungs- und Feststellungsbescheide sind daher nicht vollstreckbar; ebenso Bescheide, die eine „Bewilligung“ (zB Baubewilligung) erteilen (Walter/Mayer, Verwaltungsverfahrensrecht8 (2003), Rz 970 mwN, Fettdruck im Original).

 

 

Die Datenschutzkommission ist im Verfahren gegenüber Auftraggebern des öffentlichen Bereichs auch nicht zur Erlassung von Leistungsbescheiden berechtigt. Aus dem (§ 87 Abs. 2 VfGG, § 63 Abs. 1 VwGG und § 67c Abs. 3 AVG vergleichbaren) § 40 Abs. 4 DSG 2000 ergibt sich, dass gegenüber Auftraggebern des öffentlichen Bereichs eine Rechtsverletzung lediglich festzustellen ist. Aus dieser Feststellung resultiert sodann eine unmittelbare gesetzliche Verpflichtung zur Herstellung des der Rechtsanschauung der Datenschutzkommission entsprechenden Zustandes (Bescheid der Datenschutzkommission vom 22. April 2005, GZ: K121.010/0004- DSK/2005, RIS). Diese Gesetzesauslegung ist durch höchstgerichtliche Rechtsprechung abgesichert. An ein früheres Erkenntnis anknüpfend (Zl. 2004/06/0125 vom 27. März 2006, in dem der VwGH ausführt, dass § 40 Abs. 4 der „Vollstreckung“ - Anführungszeichen im Original - von Entscheidungen der Datenschutzkommission diene) hat der VwGH im Erkenntnis vom 27. Juni 2006, Zl. 2005/06/0366 festgehalten: „Gegenüber Auftraggebern des öffentlichen Rechts ist ein solcher Leistungsauftrag im DSG 2000 nicht vorgesehen, spricht doch § 40 Abs. 4 DSG 2000 lediglich von einer "Feststellung".

 

 

Der Bescheid, dessen Vollstreckung hier beantragt wurde, ist ein solcher Feststellungsbescheid, der beim Auftraggeber BMF die durch § 40 Abs. 4 DSG 2000 festgeschriebene Pflicht auslöst. Ein darüber hinaus gehendes Verfahren, diese Pflicht nach den Bestimmungen des VVG bei Zuwiderhandeln des Auftraggebers zwangsweise durchzusetzen, ist, wie oben bereits ausgeführt, gesetzlich nicht vorgesehen und ein darauf gerichteter Antrag damit unzulässig. In diesem Zusammenhang scheint der Hinweis angebracht, dass selbst ein als Leistungsbescheid formulierter Auftrag zur Auskunftserteilung an das BMF nicht vollstreckt werden könnte, da das zu einer Erzwingung unvertretbarer Leistungen im VVG vorgesehene Zwangsmittel, die Verhängung von Zwangsstrafen (§§ 5 f VVG), gemäß § 5 Abs. 4 VVG gegenüber dem Bund, einer Körperschaft öffentlichen Rechts, als dessen Organ das BMF tätig geworden ist, nicht zulässig wäre.

 

 

Der Antrag auf Vollstreckung war daher spruchgemäß wegen Unzulässigkeit zurückzuweisen.“ (K073.028/0004-DSK/2007, noch als Datenschutzkommission)

 

 

 

Seit Geltung der DSGVO werden von der DSB „Leistungsaufträge“ (siehe oben) erteilt. Diese können mit Zwangsstrafen iSd VVG vollstreckt werden. Die Vollstreckung ist im VerwaltungsvollstreckungG (VVG), insbes. in § 5 VVG ff. geregelt.

 

 

Kommt der Verantwortliche dem Leistungsauftrag nicht nach, dann wird eine Zwangsstrafe angedroht, dh der Verantwortliche wird aufgefordert, die Auskunft zu erteilen, widrigenfalls eine Geldstrafe erlassen wird.

 

Lässt der Verantwortliche die Frist wieder verstreichen, wird eine Zwangsstrafe (als Geldstrafe, jedoch nur bis EUR 726,--) verhängt, die umgehend zu vollziehen ist. Der Vollzug der Zwangsstrafe erfolgt durch (gerichtliche) Exekution auf das Vermögen des Verantwortlichen.  

 

 

Gleichzeitig mit dem Vollzug der Zwangsstrafe ist eine (stets schärferes) Zwangsmittel zu verhängen, wobei in jedem einzelnen Fall der Betrag von EUR 726,-- nicht überschritten werden darf.

 

 

Die „Haft“ als Zwangsmittel gegen die juristische Person bzw. deren Geschäftsführung oder Vorstand kommt nicht in Frage. Wenn es sich beim Verantwortlichen um eine natürliche Person (zB Einzelunternehmer) handelt, dann könnte die Behörde auch dazu greifen.

 

 

 

2. Klage gegen den Verantwortlichen

 

Mit der Entscheidung im zivilgerichtlichen Verfahren Schrems vs Facebook ist nur klargestellt, dass es eine parallele Zuständigkeit geben kann, und sich die betroffene Person auch entscheiden kann, den Verantwortlichen direkt vor dem Zivilgericht in Anspruch zu nehmen und ein Leistungsurteil zu beantragen. Die Nachteile, die damit verbunden sind, sind einerseits die Vorausleistungsverpflichtung der gerichtlichen Pauschalgebühr (Gerichtsgebühr) sowie andererseits das entstehende Kostenrisiko, da im zivilgerichtlichen Verfahren der unterlegene Partei der anderen Verfahrenspartei die entstandenen (Rechtsanwalts-)Kosten zu ersetzen hat.

 

 

Ein Vorteil kann darin erblickt werden, dass die Vollstreckung des Leistungsurteils in der Hand der betroffenen Person selbst liegt, die das Urteil über das Bezirksgericht als Exekutionsgericht ebenfalls mit Zwangsmitteln (Zwangsstrafe) vollstrecken lassen kann.

 

 

 

 

EUR 500,-- an Schadenersatz für unvollständige Auskunft

 

Das Landesgericht für Zivilrechtssachen Wien hat Max Schrems einen Betrag von EUR 500,-- an Schadenersatz zugesprochen. Die Aussagen dazu im erstinstanzlichen Urteil sind mE spärlich.

 

Der Spruch dazu lautet

In den Feststellungen oder der Beweiswürdigung habe ich keinen expliziten Hinweis auf einen Schaden oder Auseinandersetzung damit gefunden.

 

 

In der rechtlichen Beurteilung des Erstgerichts findet sich folgende Passage (auf der letzten Seite des Urteils):

Daraus ist der Schluss zu ziehen, dass die Richterin davon ausgeht, dass eine Rechtsverletzung durch die unvollständige Auskunft, die von Seiten des Verantwortlichen erteilt wurde, vorliegt. Auch das Arbeitsgericht Düsseldorf ging in einer (nicht rechtskräftigen) Entscheidung vom 5.3.2020 davon aus, dass eine Verspätung bei der Auskunftserteilung sowie die Unvollständigkeit einer erteilten Auskunft einen Schadenersatzanspruch der betroffenen Person rechtfertigen.

 

 

Diese Rechtsverletzung (unvollständige Auskunft) berechtigt „jede Person“ vom Verantwortlichen Schadenersatz iSd Art 82 DSGVO (§ 29 DSG) zu fordern.

 

 

Das LGZRS Wien führt auch zum Schaden selbst (kurz und bündig) aus, dass der Verlust über die Kontrolle der Daten sowie die damit verbundene Unsicherheit und die Tatsache, dass die betroffene Person das Recht auf Berichtigung nicht ausüben kann, wenn nicht alle Daten beauskunftet werden, einen Schaden darstellen.

 

 

 

 

Ausblick

 

Die Instanzentscheidung des OLG Wien, die sicherlich angestrebt wird, wird zeigen, ob dieser „Kontrollverlust“ und die „Unsicherheit“ sowie die Verhinderung der Ausübung des Rechts auf Berichtigung ausreichend sind, um einen immateriellen Schaden iSd Art 82 DSGVO (§ 29 DSG) darzustellen.

 

 

Das OLG Innsbruck (bereits im dataprotect-blog eingehend behandelt) hat im Verfahren gegen die Österreichische Post AG dazu festgehalten, dass „für einen Zuspruch von immateriellem Schadenersatz zu fordern [ist], dass eine tatsächliche Beeinträchtigung in der Gefühlswelt des Geschädigten eingetreten ist“, und fordert ein „Mindestmaß an persönlicher Beeinträchtigung“, die sich vom üblichen Ärger, der mit einer Rechtsverletzung verbunden ist, unterscheiden muss.

  

 

 

09.07.2020, Autor

Michael Schweiger