Über den Rechtsstreit konnte trotz der Abwesenheit des Beigeladenen in der mündlichen Verhandlung vom 12. Juni 2024 entschieden werden, da er gemäß § 102 Abs. 2 VwGO in der Ladung auf die Möglichkeit der Verhandlung und Entscheidung auch bei Ausbleiben eines Beteiligten hingewiesen wurde.

Die Klage ist zulässig und begründet. Die Klägerin hat einen Anspruch auf aufsichtliches Einschreiten des beklagten Landesamts gegen den Beigeladenen.

A.

Das Verwaltungsgericht Ansbach ist zur Entscheidung über den Rechtsstreit befugt.

Der Verwaltungsrechtsweg ist eröffnet. Die Klägerin wendet sich mit der vorliegenden Klage gegen eine Abschlussmitteilung des Beklagten, die auf eine von ihr erhobene Beschwerde nach Art. 77 DS-GVO hin ergangen ist. Eine solche Abschlussmitteilung stellt nach der ständigen Rechtsprechung der Kammer einen „rechtsverbindlichen Beschluss“ im Sinne von Art. 78 DS-GVO dar (vgl. etwa VG Ansbach, U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 18). Die Klägerin macht mit der vorliegenden Klage also ihr Recht nach Art. 78 Abs. 1 DS-GVO auf einen „wirksamen gerichtlichen Rechtsbehelf“ hiergegen geltend (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 50). Daher ist der Verwaltungsrechtsweg nach § 20 Abs. 1 Satz 1 BDSG eröffnet.

Das Verwaltungsgericht Ansbach ist nach § 45 VwGO sachlich zuständig. Nach § 20 Abs. 3 BDSG ist das Gericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat. Das Landesamt hat seinen Sitz in A. in M., sodass die örtliche Zuständigkeit aus Art. 1 Abs. 2 Nr. 4 AGVwGO folgt.

B.

Die Klage ist zulässig.

Die auf die Verurteilung des Beklagten zur Ergreifung aufsichtlicher Maßnahmen nach Art. 58 Abs. 2 DS-GVO gegen den Beigeladenen (unter Aufhebung der Abschlussmitteilung des Beklagten vom 24.3.2020) gerichtete Klage ist nach der ständigen Rechtsprechung der Kammer (U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 19 ff.; U.v. 7.12.2020 – AN 14 K 18.02503 – juris Rn. 21 ff.) als allgemeine Leistungsklage, gerichtet auf ein aufsichtliches Einschreiten, statthaft.

Der Europäische Gerichtshof hat inzwischen in diesem Sinne klargestellt, dass Art. 78 Abs. 1 DS-GVO eine vollständige gerichtliche Überprüfung einer Abschlussmitteilung verlangt, die nicht lediglich darauf beschränkt ist, ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis gesetzt hat. Vielmehr unterliegt ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde einer vollständigen inhaltlichen Überprüfung durch das Gericht, die allerdings grundsätzlich in Bezug auf die Wahl der geeigneten und erforderlichen Abhilfebefugnisse auf die Überprüfung von Ermessensfehlern beschränkt ist (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 47 ff.).

Gegenstand der Klage ist dabei allein der Sachverhalt, der Gegenstand der Beschwerde der Klägerin nach Art. 77 DS-GVO war und der Abschlussmitteilung vom 24. März 2020 zugrunde liegt. Voraussetzung für die wirksame Beschwerdeerhebung ist, dass ein konkreter Sachverhalt mitgeteilt wird, aufgrund dessen der Beschwerdeführer von einer Verletzung der DS-GVO ausgeht (ebenso VG Mainz, U.v. 22.7.2020 – 1 K 473/19.MZ – BeckRS 2020, 20778, Rn. 23; Bergt in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 77 DS-GVO, Rn. 10). Dieser in der Beschwerde mitgeteilte Sachverhalt bestimmt und begrenzt daher auch den Prüfungsauftrag, der der Aufsichtsbehörde mit der Beschwerde gesetzt wird, und begrenzt damit auch den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DS-GVO eingeleiteten Gerichtsverfahrens. Wie die Klägerin in der mündlichen Verhandlung klarstellte, ging es ihr vorliegend im Rahmen ihrer Beschwerde um die aus ihrer Sicht unzureichende Datenauskunft des Beigeladenen.

Die Klagebefugnis der Klägerin ergibt sich aus Art. 78 Abs. 1 DS-GVO, wonach jede natürliche Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde – hier die Abschlussmitteilung des Beklagten – hat. Die Klage ist auch im Übrigen zulässig, insbesondere war kein Vorverfahren durchzuführen (§ 20 Abs. 6 BDSG) und keine Klagefrist einzuhalten.

C.

Die Klage ist auch begründet.

I. Das beklagte Landesamt ist selbst passivlegitimiert. Gemäß § 20 Abs. 5 Satz 1 Nr. 2 BDSG ist die Aufsichtsbehörde direkt als Beklagte beteiligt. Es liegt somit eine durch die Unabhängigkeit der Aufsichtsbehörde unionsrechtlich bedingte bundesrechtliche Spezialregelung gegenüber § 78 VwGO vor.

II. Die Klägerin hat im maßgeblichen Entscheidungszeitpunkt einen Anspruch auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde gegen den Beigeladenen. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO steht dabei im Ermessen des Landesamts.

Voraussetzung für die Begründetheit einer allgemeinen Leistungsklage auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde ist nach der Rechtsprechung der Kammer, dass der geltend gemachte Verstoß gegen datenschutzrechtliche Vorschriften feststeht oder sich zumindest aufdrängt und das Ermessen hinsichtlich des aufsichtlichen Einschreitens (Entschließungsermessen) auf null reduziert ist. Dies kann etwa dann der Fall sein, wenn der Verstoß so schwerwiegend in die Rechte der betroffenen Person eingreift, dass das Ergreifen aufsichtlicher Maßnahmen die einzig rechtmäßige Handlungsmöglichkeit der Aufsichtsbehörde darstellt, oder wenn nur das Ergreifen (weiterer) aufsichtlicher Maßnahmen zur Schaffung rechtmäßiger Zustände führt (so zur Frage einer Bußgeldverhängung VG Ansbach, U.v. 16.3.2020 – AN 14 K 19.00464 – juris Rn. 21). Der Anspruch gegen den Beklagten auf weiteres aufsichtliches Tätigwerden setzt dabei die Verletzung eigener Rechte voraus (vgl. VG Ansbach, U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 43).

Für die zur Bewertung eines Verstoßes maßgeblichen Kriterien kann insbesondere Erwägungsgrund 148 der DS-GVO herangezogen werden. Bei den Erwägungsgründen der DS-GVO handelt es sich nicht um eigenständige Rechtsnormen mit Regelungscharakter, sondern es wird in den Erwägungsgründen die Zielsetzung beschrieben, die mit dem Erlass der DS-GVO durch den Verordnungsgeber verfolgt wurde. Daher sind die Erwägungsgründe der DS-GVO maßgeblich für die Auslegung der unionsrechtlichen Vorschriften, denn den Erwägungsgründen können der DS-GVO zugrundeliegende allgemeine Rechtsgedanken entnommen werden. Laut Erwägungsgrund 148, insbesondere Satz 3, soll die Behörde bei der Wahl der geeigneten Maßnahme Folgendem gebührend Rechnung tragen: der Art, Schwere und Dauer des Verstoßes, dem vorsätzlichen Charakter des Verstoßes, den Maßnahmen zur Minderung des entstandenen Schadens, dem Grad der Verantwortlichkeit oder jeglichem früheren Verstoß, der Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, der Einhaltung der gegen den Verantwortlichen angeordneten Maßnahmen, der Einhaltung von Verhaltensregeln und jedem anderen erschwerenden oder mildernden Umstand. Auch wenn dieser Erwägungsgrund in seinem vorhergehenden Satz 2 konkret das Verhältnis von einer Verwarnung zur Bußgeldverhängung beschreibt, also unmittelbar nur die Ausübung des Auswahlermessens in bestimmten Konstellationen betrifft, kommt doch in den anschließend in Satz 3 aufgelisteten Kriterien ein allgemeiner Rechtsgedanke zum Ausdruck, der bereits im Rahmen des Entschließungsermessens und bei jeder Ausübung des Auswahlermessens heranzuziehen ist.

Der Beklagte ist im Entscheidungszeitpunkt seiner Pflicht zum Ergreifen von Abhilfemaßnahmen ermessensfehlerhaft nicht nachgekommen. Das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen ist angesichts der konkreten Umstände des Verstoßes des Beigeladenen gegen das subjektive Auskunftsrecht der Klägerin aus Art. 15 Abs. 1 DS-GVO auf null reduziert.

1. Art. 15 Abs. 1 DS-GVO verleiht einer betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten, insbesondere über die Verarbeitungszwecke (Buchst. a); die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b); sowie die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Buchst. c). Aus dem unzweideutigen Wortlaut der Vorschrift folgt, dass die Auskunft unmittelbar gegenüber der betroffenen Person zu erteilen ist, nicht lediglich gegenüber der Datenschutzaufsichtsbehörde.

Es ist vorliegend unstreitig, dass der Beigeladene im Rahmen der Anmeldung und Teilnahme der Klägerin bei dem von ihm veranstalteten Seminar als Verantwortlicher (Art. 4 Nr. 7 DS-GVO) personenbezogene Daten der Klägerin verarbeitet hat. Ihr standen damit – jedenfalls während die Datenverarbeitung fortdauerte (vgl. zum Streitstand zur im Einzelnen umstrittenen sachlichen und zeitlichen Reichweite der Auskunftspflicht nach Art. 15 Abs. 1 Buchst. c DS-GVO Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand: 1.5.2024, DS-GVO Art. 15 Rn. 52; Bäcker in Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, DS-GVO Art. 15 Rn. 18 ff.) – die in Art. 15 Abs. 1 Halbs. 2 DS-GVO aufgezählten, über die bloße Bestätigung einer Datenverarbeitung hinausgehenden Auskunftsrechte vollumfänglich zu.

2. Der Beigeladene reagierte zunächst nicht auf die direkte Aufforderung durch die Klägerin mit E-Mail vom 22. Januar 2020, ihr eine Datenauskunft zu erteilen. Auf die Aufforderung des Landesamts vom 6. März 2020, der Klägerin die ihr zustehende Auskunft zu erteilen, reagierte der Beigeladene zunächst nur gegenüber dem Landesamt und teilte mit, die Adressdaten der Klägerin gelöscht zu haben und lediglich ihre E-Mail-Adresse zu speichern. Sodann forderte das Landesamt am 24. März 2020 den Beigeladenen parallel zur Abschlussmitteilung erneut zur Auskunft gegenüber der Klägerin auf. Nur nachdem die Klägerin sich am 4. April 2020 erneut unmittelbar an den Beigeladenen gewandt hatte, gab er in zwei E-Mails vom 5. April 2024 an, nur noch ihre E-Mail-Adresse zu speichern und diese nun zu löschen. Es ist nicht ersichtlich, dass der Beigeladene zuvor eine Auskunft nach Art. 15 Abs. 1 DS-GVO erteilte.

Der Beigeladene kam nach den dem Gericht vorliegenden Erkenntnissen demnach zwischen dem 22. Januar 2020 und dem 5. April 2020 trotz der zweimaligen ausdrücklichen Aufforderung durch das Landesamt seiner Rechtspflicht aus Art. 15 Abs. 1 DS-GVO gegenüber der Klägerin nicht nach. Erst am 5. April 2024 erteilte er der Klägerin eine Negativauskunft. Zwar kann einem Auskunftsersuchen auch durch Negativauskunft nachgekommen werden; auch dann, wenn keine Datenverarbeitung stattfindet, hat die (potenziell) betroffene Person einen Anspruch darauf, dass dies ihr gegenüber bestätigt wird (vgl. Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand: 1.5.2024, DS-GVO Art. 15 Rn. 50 m.w.N.). Die Negativauskunft, die am 5. April 2024 gegenüber der Klägerin erfolgte, war allerdings erkennbar unzureichend. Zu diesem Zeitpunkt verarbeitete der Beigeladene laut eigener Aussage jedenfalls noch die E-Mail-Adresse der Klägerin. Jedenfalls diesbezüglich traf ihn also nach Art. 15 Abs. 1 Buchst. c DS-GVO die Pflicht, der Klägerin mitzuteilen, gegenüber welchen Empfängern oder Kategorien von Empfängern die E-Mail-Adresse offengelegt worden war oder noch offengelegt wurde. Der Beigeladene teilte aber lediglich mit, die E-Mail-Adresse gelöscht zu haben und keine Daten mehr zu verarbeiten; eine auf die Vergangenheit bezogene (ggf. Negativ-) Auskunft blieb er schuldig.

In der zunächst unterlassenen und sodann unzureichenden Auskunft des Beigeladenen gegenüber der Klägerin lag also jeweils ein Verstoß gegen die datenschutzrechtliche Vorschrift des Art. 15 Abs. 1 DS-GVO.

3. Stellt die Datenschutzaufsichtsbehörde – hier das Landesamt – am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DS-GVO fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck stehen insbesondere die in Art. 58 Abs. 2 DS-GVO aufgezählten Abhilfebefugnisse zur Verfügung (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 57).

Der vorliegende Verstoß gegen das im System der DS-GVO zentrale subjektive Recht der Klägerin aus Art. 15 Abs. 1 DS-GVO führt gemäß den oben erläuterten Bewertungsgrundsätzen unter Beachtung des erschwerenden Umstands der Renitenz des Beigeladenen dazu, dass auch im Zeitpunkt der gerichtlichen Entscheidung das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO auf null reduziert ist. Nur eine solche Maßnahme stellt im vorliegenden Einzelfall i.S.d. zitierten Rechtsprechung des Europäischen Gerichtshofs eine „geeignete Reaktion“ dar.

Zunächst ist festzustellen, dass das Landesamt den Beigeladenen zwar zweimal (am 6. und 24. März 2020) mit „Aufsicht nach Art. 58 DS-GVO“ überschriebenen Schreiben zur Auskunftserteilung aufforderte. Hierin ist aber jeweils keine formale Abhilfemaßnahme zu sehen, insbesondere keine Anweisung i.S.d. Art. 58 Abs. 2 Buchst. c DS-GVO. Den Aufforderungen fehlt es ihrem Wortlaut nach an der Verbindlichkeit einer solchen Anweisung, außerdem wird nicht der Begriff der „Anweisung“ verwendet. Das zweite Schreiben vom 24. März 2020 ist als bloße Bitte formuliert. Zudem fehlt es an der bei einer Abhilfemaßnahme zu erwartenden Bescheidform inklusive Rechtsbehelfsbelehrung. Das Landesamt hat folglich im Entscheidungszeitpunkt noch keine Abhilfebefugnisse i.S.d. Art. 58 Abs. 2 DS-GVO ausgeübt.

Das Gericht stellt außerdem fest, dass das Landesamt vorliegend das Beschwerdeverfahren durch Erlass der Abschlussmitteilung beendet hat, ohne vorher sicherzustellen, dass dem begründeten Begehren der Klägerin abgeholfen wurde bzw. würde. Vielmehr hat es dem Beigeladenen durch die Ankündigung, aktuell keine weiteren Maßnahmen zu ergreifen und die Angelegenheit als erledigt zu betrachten, implizit zu erkennen gegeben, dass der Beigeladene unabhängig von seinem weiteren Vorgehen keine aufsichtlichen Maßnahmen zu befürchten habe. Der Beklagte hat seine Untersuchung verfrüht abgeschlossen. Das Landesamt ist damit im Zeitpunkt der Abschlussmitteilung ermessensfehlerhaft nicht seiner Pflicht nachgekommen, die Datenschutzbeschwerde der Klägerin mit aller gebotenen Sorgfalt zu bearbeiten und dem Verstoß abzuhelfen (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 56 f.).

Dass das Entschließungsermessen auch im Zeitpunkt der gerichtlichen Entscheidung auf null reduziert ist, ergibt sich einerseits daraus, dass der Beigeladene einer im System der DS-GVO zentralen Pflicht nicht nachgekommen ist. Art. 15 DS-GVO sichert, wie in Erwägungsgrund 63 der DS-GVO deutlich wird, die Transparenz der Datenverarbeitung und die Kontrolle der Rechtmäßigkeit der Datenverarbeitung ab und ist damit ganz wesentlicher Bestandteil der in der DS-GVO normierten Betroffenenrechte (vgl. Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand 1.5.2024, DS-GVO Art. 15 Rn. 2). Auch war die Klägerin von einer Auskunft des Beigeladenen abhängig, um ihre Rechte – zumindest potenziell, je nach Inhalt der Auskunft – zu realisieren.

Für die zwingende Notwendigkeit des Ergreifens einer formalen Maßnahme spricht außerdem die Renitenz des Beigeladenen bei der Auskunftserteilung. Die ausstehende Auskunft wurde auch nach Aufforderung durch das Landesamt zunächst nicht gegenüber der Klägerin erteilt. Als die Auskunft teilweise erteilt wurde, wurde entgegen der Aufforderung des Landesamts und entgegen der Pflicht des Beigeladenen (s.o.) in keiner Weise dargelegt, ob und gegenüber welchen Empfängern die zu diesem Zeitpunkt unzweifelhaft noch vorhandene E-Mail-Adresse der Klägerin in der Vergangenheit offengelegt wurde. Ohne die Beauskunftung der Empfänger ihrer Daten konnte die Klägerin keine informierte Entscheidung darüber treffen, ob sie ggf. auch diesen gegenüber ihre Betroffenenrechte, insbesondere das Auskunftsrecht und das Berichtigungsrecht, geltend machen wollte. Dies ist aber gerade wesentlicher Sinn und Zweck des Auskunftsrechts. Erschwerend tritt hinzu, dass die Klägerin die Möglichkeit bis heute nicht hat und angesichts der Löschung der betroffenen Daten durch den Beigeladenen auch nicht mehr erhalten wird. Das Beschwerdeverfahren wurde als Mechanismus konzipiert, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 58). Dies erfordert, dass in Fällen wie dem vorliegenden formale Maßnahmen ergriffen werden, nicht nur, um im Einzelfall die Wahrung von Rechten zu erreichen, sondern auch, um künftige Rechtsverstöße durch den Verantwortlichen zu verhindern.

4. Das Auswahlermessen hinsichtlich einer konkreten Abhilfebefugnis ist dagegen vorliegend nicht auf null reduziert.

Bei der Ausübung des Auswahlermessens ist ebenfalls eine Orientierung an den in Erwägungsgrund 148 der DS-GVO festgehaltenen Wertungsgesichtspunkten (s.o.) geboten. Denkbar erscheinen vor diesem Hintergrund etwa die Verwarnung des Beigeladenen (Art. 58 Abs. 2 Buchst. b DS-GVO) oder die Verhängung einer Geldbuße (Art. 58 Abs. 2 Buchst. i DS-GVO). Es bleibt aber vorliegend dabei, dass das Gericht seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse nicht an die Stelle der Beurteilung des Landesamts setzen kann (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 69), da eine Ermessensreduktion auf null insoweit nicht ersichtlich ist. Insbesondere zwischen den beiden genannten Abhilfemaßnahmen hat der Beklagte eine ermessensfehlerfreie Wahl zu treffen, da beide für die Erreichung des hinter dem Beschwerdeverfahren stehenden Zwecks auch jetzt noch geeignet sind.

5. Letztlich ist dem auf das Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO gerichteten Klagebegehren vollumfänglich stattzugeben.

III. Die Kostentragung des Beklagten folgt aus § 154 Abs. 1 VwGO.

Der Beigeladene trägt etwaige außergerichtlichen Kosten selbst, die Billigkeitsausnahme des § 162 Abs. 3 VwGO greift bereits deshalb nicht, weil er keine Anträge gestellt hat und sich somit keinem Kostenrisiko ausgesetzt hat (§ 154 Abs. 3 VwGO).

Die Entscheidung über die vorläufige Vollstreckbarkeit ergibt sich aus § 167 VwGO i.V.m. §§ 708 Nr. 11, 711 ZPO.