Ermessensspielraum bei Datenschutzverstößen

Der Europäische Gerichtshof (EuGH) hat in einem aktuellen Fall klargestellt, dass Datenschutzbehörden bei Verstößen gegen den Schutz personenbezogener Daten nicht immer zu Sanktionen greifen müssen. Dies wird besonders deutlich in einem Fall, der derzeit vor dem Verwaltungsgericht Wiesbaden verhandelt wird. Eine Mitarbeiterin einer Sparkasse hatte mehrmals unbefugt auf personenbezogene Daten eines Kunden zugegriffen. Der Kunde selbst wurde über diese Zugriffe nicht informiert. Die Mitarbeiterin musste lediglich schriftlich erklären, dass sie die Daten nicht gespeichert, kopiert oder weitergegeben habe und dies auch in Zukunft unterlassen werde.

Der Landesdatenschutzbeauftragte entschied daraufhin, den Vorfall nicht weiter zu ahnden. Die Maßnahmen, die von der Sparkasse ergriffen wurden, galten ihm als ausreichend. Diese Entscheidung wurde nun durch den EuGH gestützt, der feststellte, dass eine Aufsichtsbehörde nicht zwangsläufig Abhilfemaßnahmen ergreifen oder Geldbußen verhängen muss. Dies gilt besonders dann, wenn die Behörde die getroffenen Maßnahmen als hinreichend erachtet, um den festgestellten Datenschutzverstoß zu beheben und die Einhaltung der Datenschutz-Grundverordnung (DSGVO) sicherzustellen.

Die Entscheidung des EuGH führt jedoch zu Unsicherheiten, insbesondere bei den betroffenen Personen, deren Daten unbefugt eingesehen wurden. Es stellt sich die Frage, inwiefern sie geschützt sind, wenn Verstöße gegen ihre Privatsphäre nicht zwingend sanktioniert werden müssen. Der EuGH räumt den Aufsichtsbehörden somit einen weiten Ermessensspielraum ein, der nicht immer im Interesse des Betroffenen sein könnte.

Noch ist offen, wie das Verwaltungsgericht Wiesbaden in diesem Fall entscheiden wird. Dennoch bleibt das Gefühl bestehen, dass personenbezogene Daten möglicherweise einer willkürlichen Behandlung ausgesetzt sind, wenn der Verstoß lediglich durch das Versprechen des Verursachers abgemildert wird, in Zukunft keinen weiteren Missbrauch zu begehen. Besonders für den betroffenen Kunden der Sparkasse könnte dies ein unbefriedigendes Ergebnis sein, da er sich ohne konkrete Sanktionen recht schutzlos gegenüber der Institution fühlen dürfte.