Leitsatz (amtlich)
§ 38 Abs. 5 BDSG erlaubt es dem Datenschutzbeauftragten in seiner Eigenschaft als Aufsichtsbehörde nicht, gegenüber Privaten Anordnungen mit dem Ziel zu treffen, die Rechtmäßigkeit einer Datenerhebung sicherzustellen, die nicht im Wege der automatisierten Datenverarbeitung erfolgt. Er kann einer Detektei keine Dokumentationspflicht auferlegen, um zu verhindern, dass deren Mitarbeiter fernmündlich über die Mitarbeiter der Sozialleistungsträger geschützte Sozialdaten ausspionieren.
Tenor
Auf die Berufung der Klägerin wird das aufgrund der mündlichen Verhandlung vom 21. November 2002 ergangene Urteil des Verwaltungsgerichts Hamburg aufgehoben.
Der Bescheid vom 3. Dezember 1998 und der Widerspruchsbescheid vom 17. Juni 1999 werden aufgehoben.
Die Beklagte trägt die Kosten des gesamten Verfahrens.
Hinsichtlich der Kosten des gesamten Verfahrens ist das Urteil vorläufig vollstreckbar. Die Beklagte darf die Vollstreckung durch Sicherheitsleistung in Höhe der festzusetzenden Kosten abwenden, falls nicht die Klägerin vor der Vollstreckung Sicherheit in derselben Höhe leistet.
Die Revision wird nicht zugelassen.
Tatbestand
Die Klägerin betreibt ein Detektivbüro mit acht Ermittlern und zwei Schreibkräften. Sie wendet sich gegen eine Anordnung des Hamburgischen Datenschutzbeauftragten, mit dem dieser sie verpflichtete, Herkunft und Beschaffungsart personenbezogener Daten im Rahmen von Ermittlungen in oder aus Dateien lückenlos zu dokumentieren.
Nach einer Überprüfung durch den Hamburgischen Datenschutzbeauftragten im Jahr 1988 teilte die Klägerin ihren Kunden 1989 mit, dass sie aus Gründen des Datenschutzes künftig ihre Kundenanfragen und Ermittlungsberichte nach Auftragsabschluss vernichten werde. 1992 stellte der Beklagte anlässlich einer Überprüfung fest, dass die auf Personalcomputern geschriebenen Ermittlungsberichte überschrieben würden und nur nach den Namen der Auftraggeber automatisiert ausgewertet werden könnten. Die alphabetisch nach den Namen der Auftraggeber geordneten und in Ordnern abgelegten Berichtskopien stellten nach der damaligen Einschätzung der Beklagten keine nicht automatisierte Datei dar.
1997 wandte sich die Beklagte an die Staatsanwaltschaft bei dem Landgericht Hamburg, da ihr mehre Eingaben vorlagen, nach denen die Klägerin ihren Kunden u.a. die Stammnummern von Zielpersonen bei den Arbeitsämtern München, Krefeld und Oldenburg übermittelt haben soll. Ferner beschwerte sich die Landesversicherungsanstalt Rheinland-Pfalz darüber, dass am 30. September 1997 von einem Telephonapparat der Klägerin aus versucht worden sei, Sozialdaten auszuspionieren und dabei die Anruferin fälschlich behauptet habe, sie sei Mitarbeiterin in einem Sozialamt. Das deswegen eingeleitete staatsanwaltliche Ermittlungsverfahren ist eingestellt worden. Es konnte nicht ermittelt werden, wer von den Mitarbeiterinnen der Klägerin den Anruf getätigt hatte.
Mit Bescheid vom 3. Dezember 1998 ordnete die Beklagte gemäß § 38 Abs. 5 Satz 1 BDSG i.V.m. Nr. 10 der Anlage zu § 9 Satz 1 BDSG an, die notwendigen Maßnahmen zu treffen, die die lückenlose Dokumentation der Herkunft und Beschaffungsart von personenbezogenen Daten im Rahmen von Ermittlungen in oder aus Dateien durch einen konkret benannten Mitarbeiter gewährleisten und die Dokumentationen für einen Zeitraum von einem Jahr nach Beendigung des Ermittlungsauftrages aufzubewahren. Aus der Dokumentation müsse ersichtlich sein, welche Mitarbeiter welche personenbezogenen Daten wann und von wem erhoben hätten und welchen Geschäftsvorgängen der Detektei diese Datenerhebungen zuzuordnen seien.
Die Klägerin legte Widerspruch ein. Sie habe zu den Vorwürfen nicht substantiiert Stellung nehmen können. Die gerügte Anordnung sei zu unbestimmt gefasst. Insbesondere sei nicht ersichtlich, was mit Ermittlungen in oder aus Dateien gemeint sei. In ihrer Branche sei es üblich, Rechercheure und Informationsquellen nicht zu dokumentieren. Darin liege kein organisatorischer Mangel. Auch lasse sich aus den möglicherweise vorliegenden Beschwerden betroffener Zielpersonen noch nicht auf einen Missbrauch durch ihre Mitarbeiter schließen. Hinsichtlich der Beschwerde der Landesversicherungsanstalt Rheinland-Pfalz werde bezweifelt, dass die Telekom ihre – der Klägerin – Telephonnummer hätte mitteilen dürfen. Eine unrechtmäßige Erlangung der Verbindungsdaten führe zu einem Verwertungsverbot. § 9 BDSG rechtfertige die Anordnung nicht, da diese Vorschrift lediglich die Datenverarbeitung aber noch nicht die Datenerhebung regele. Auch sei die Anordnung nicht geeignet, die Rechtmäßigkeit der Datenerhebung sicherzustellen. Jedenfalls greife die Beklagte in ermessensfehlerhafter Weise zu tief in ihre Rechte ein. Bei einer Preisgestaltung von DM 65 je Auftrag könne sie die verlangte Dokumentation nicht leisten; auch sei sie darauf angewiesen, dass sich ihre Informanten vertrauensvoll an sie wenden könnten ohne befürchten zu müssen, dass ihre Daten noch ein Jahr lang in der Detektei vorgehalten würden. Es...
Dieser Inhalt ist unter anderem im Deutsches Anwalt Office Premium enthalten. Sie wollen mehr?
Jetzt kostenlos 4 Wochen testen