Gemeinsame DSGVO-Verantwortung: Muss die Vereinbarung direkt auf dem Profil zugänglich sein?

Redaktionelle Zusammenfassung · 840 Wörter

Die Entscheidung erklärt

EuGH soll Veröffentlichungsweg bei gemeinsamer Datenverantwortung klären

Verbandsklage gegen die Gestaltung eines Anwaltsprofils

Der klagende Wirtschaftsverband zählte unter anderem Inkassounternehmen, entsprechend tätige Anwaltskanzleien und Handwerkskammern zu seinen Mitgliedern. Der beklagte Rechtsanwalt warb auf einer Unterseite der Plattform anwalt.de. Der Verband beanstandete, dass auf der angegriffenen Profilseite das Wesentliche einer Vereinbarung über gemeinsame Verantwortlichkeit nicht zur Verfügung gestellt wurde. Nach erfolgloser Abmahnung verlangte er ein Verbot der konkret bezeichneten Gestaltung im Zusammenhang mit Inkassodienstleistungen. In der Sachverhaltsdarstellung werden außerdem fehlende oder nicht auffindbare Informationen nach Artikel 13 DSGVO erwähnt. Der Senat grenzte den Streitgegenstand jedoch auf die Bereitstellung des Wesentlichen der Vereinbarung nach Artikel 26 ein. Eine umfassende Prüfung sämtlicher Informationspflichten war damit nicht Gegenstand der Vorlage.

Beklagter bestritt Wettbewerbsbezug und Pflicht zur unmittelbaren Veröffentlichung

Der Anwalt hielt dem Verband entgegen, dieser greife einen veralteten Internetauftritt an. Bei Einleitung des Verfahrens sei er nicht mehr im Inkasso und Forderungseinzug tätig gewesen; deshalb fehle ein Wettbewerbsverhältnis. Außerdem ergebe sich aus Artikel 26 nach seiner Auffassung keine Pflicht, die verlangten Angaben ungefragt auf der Profilseite oder einer verlinkten Seite zu veröffentlichen. Eine Übersendung auf Anfrage reiche aus. Der Senat bejahte die Klagebefugnis nach deutschem Recht, ohne dies im Vorlagebeschluss näher auszuführen. Den Antrag verstand er anhand der Klagebegründung als hinreichend bestimmt: Angegriffen wurde gerade das vollständige Fehlen der Informationen in der beanstandeten Webseite beziehungsweise eines entsprechend gekennzeichneten Zugangs über einen Link.

Gemeinsame Verantwortung wird für bestimmte Verarbeitungsschritte zugrunde gelegt

Die Vorlage setzt voraus, dass Plattformbetreiber und Profilinhaber jedenfalls bei bestimmten Vorgängen gemeinsam für die Datenverarbeitung verantwortlich sind. Der Senat stützte sich hierzu auf eine behördliche Beschreibung der Aufgabenverteilung und die Rechtsprechung des Europäischen Gerichtshofs. Dabei wird zwischen eigenständigen Plattformzwecken, bestimmten unmittelbar profilbezogenen Funktionen und der späteren Bearbeitung einer eingegangenen Nachricht durch den Anwalt unterschieden. Die Plattform handelte nach der zugrunde gelegten Darstellung nicht lediglich weisungsgebunden als Auftragsverarbeiterin der Kanzlei. Für die streitige Fragestellung ging es um Erhebungen personenbezogener Daten über die betreffende Unterseite. Der Beschluss trifft damit keine unterschiedslose Aussage, sämtliche Verarbeitungen innerhalb einer Plattform und jede anschließende Mandatsbearbeitung seien immer gemeinsam verantwortet.

Wortlaut legt Zeitpunkt und Übermittlungsform nicht eindeutig fest

Der Senat hielt für ungeklärt, wie die Pflicht zum Zurverfügungstellen des Wesentlichen der Vereinbarung konkret zu erfüllen ist. In Artikel 26 fehlt nach seiner Darstellung insbesondere eine ausdrückliche zeitliche Anknüpfung an den Moment der Datenerhebung. Auch werden weder eine Veröffentlichung noch eine Bereitstellung auf Anfrage eindeutig vorgeschrieben. Die im Beschluss wiedergegebene Stellungnahme der nordrhein-westfälischen Datenschutzaufsicht bezog verschiedene Sprachfassungen und andere Vorschriften der DSGVO in den Vergleich ein. Daraus leitete sie keine zwingende Pflicht zur unaufgeforderten Veröffentlichung ab. Der Senat stellte diese Argumentation als eine der vertretenen Positionen dar. Er erhob sie gerade nicht zur abschließenden Lösung, sondern sah wegen der unterschiedlichen Auffassungen einen unionsrechtlichen Klärungsbedarf.

Transparenz über Aufgabenverteilung und Betroffenenrechte

Die Vereinbarung zwischen gemeinsam Verantwortlichen soll nach der wiedergegebenen Behördenauffassung klären, welcher Beteiligte welche Datenschutzpflichten erfüllt. Dadurch sollen Zuständigkeitslücken vermieden werden. Die Bereitstellung ihres wesentlichen Inhalts schafft daneben Transparenz für die betroffenen Personen. Diese sollen erkennen können, wer welche Aufgaben übernimmt und an wen sie sich wenden können. Die nordrhein-westfälische Aufsicht unterschied diesen organisatorischen Informationsgehalt von den allgemeinen Informationen nach den Artikeln 13 und 14. Deren zeitliche Vorgaben seien nicht automatisch auf Artikel 26 übertragbar. Außerdem könnten Betroffene ihre Rechte ungeachtet der internen Vereinbarung gegenüber jedem gemeinsam Verantwortlichen geltend machen. Diese Schutzmechanismen gehörten zu ihrer Begründung dafür, eine frühzeitige Veröffentlichung zwar für sinnvoll, aber nicht zwingend zu halten.

Aufsichtsbehörden vertreten unterschiedliche Auslegungen

Der Beschluss gibt auch die Gegenposition wieder. Eine andere Datenschutzaufsichtsbehörde argumentierte, gerade das Fehlen eines ausdrücklichen Antragserfordernisses spreche für eine voraussetzungslose Pflicht zur frühzeitigen Information. Betroffene müssten die Angaben daher nicht erst anfordern. Dem stand die im Beschluss dargestellte Einschätzung gegenüber, die europäischen Leitlinien ließen bei der wirksamsten Bereitstellungsform einen Entscheidungsspielraum. Als mögliche Wege werden dort sowohl die Datenschutzerklärung als auch eine Auskunft auf Anfrage genannt. Weitere befragte Aufsichtsbehörden teilten die nordrhein-westfälische Sicht. Die unterschiedlichen Stellungnahmen verdeutlichen den Auslegungsstreit. Aus dem Vorlagebeschluss lässt sich deshalb weder eine bereits unionsweit verbindlich bestätigte Veröffentlichungspflicht noch eine endgültig abgesicherte Beschränkung auf bloße Auskunftsanfragen ableiten. Genau diese Unsicherheit soll das Vorabentscheidungsverfahren klären.

Vorlage betrifft die besuchte oder eindeutig verlinkte Webseite

Der Senat formulierte die Frage eng anhand des vorliegenden Streitgegenstands. Bei einer gemeinsamen Verarbeitung, die durch den Besuch einer Profilseite ausgelöst wird, soll geklärt werden, ob das Wesentliche der Vereinbarung auf dieser Seite selbst oder auf einer entsprechend gekennzeichneten verlinkten Seite verfügbar sein muss. Die Parteien hatten verschiedene Fragen vorgeschlagen; das Gericht präzisierte sie auf die tatsächlich angegriffene Gestaltung. Der Inhalt sämtlicher möglicher Vereinbarungen oder die Rechtmäßigkeit jeder Datenverarbeitung der Plattform werden damit nicht insgesamt zur Entscheidung gestellt. Bis zur unionsrechtlichen Klärung setzte das Oberlandesgericht sein Verfahren aus. Der Beschluss dokumentiert diese offene Rechtsfrage zum damaligen Verfahrensstand; ein späteres Ergebnis des Europäischen Gerichtshofs ist darin nicht enthalten.