Beim Thema Datenschutz kommt es in behördlichen Verfahren immer wieder zu Situationen, die sowohl auf Seiten der Behörde als auch auf Unternehmens-/Vertreterseite nicht gerade alltäglich sind. Dabei erscheint die Frage – Ob und in welche Dokumente darf eine Aufsichtsbehörde Einsicht verlangen? – auf den ersten Blick recht trivial. Als kleiner Einblick in das heute veröffentlichte Werk: Härting/Konrad – DSGVO im Praxistest: Ermittlungen – Bußgelder – Verfahren beantworten wir genau diese Frage:
39. Kann die Aufsichtsbehörde nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG auch die Herausgabe von Unterlagen, Dokumenten und Nachweisen verlangen?
Die Frage ist nicht einfach zu beantworten.
Wortlaut: Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG sieht eine Verpflichtung des Datenverarbeiters zur Herausgabe von Unterlagen, Dokumenten und Nachweisen vor. Auch an anderer Stelle finden sich weder in der DSGVO noch im BDSG Herausgabeverpflichtungen.
Behauptung: In den Kommentaren zu Art. 58 Abs. 1 lit. a DSGVO findet sich zumeist die Behauptung, die Auskunftspflicht bedeute zugleich eine Pflicht zur „Bereitstellung von Informationen in Form von Kopien von Dokumenten und Dateien“ (Nguyen in Gola, DSGVO, 2. Aufl. 2018, Art. 58, Rz. 10; ebenso etwa Körffer in Paal/ Pauly, DSGVO BDSG, 2. Aufl. 2018, Art. 58, Rz. 7). Weshalb das so sein soll, wird jedoch nicht oder nur floskelhaft („funktionale Betrachtung gebietet“, Selmayr in Ehman/ Selmayr, DSGVO, 2. Aufl. 2018, Art. 58, Rz. 11) begründet.
Grundrechtseingriff: Die Herausgabe von Unterlagen ist ein Grundrechtseingriff, der über den Eingriff hinausgeht, der mit bloßen Auskünften verbunden ist. Deshalb finden sich in anderen Eingriffsnormen in aller Regel Formulierungen, die beides aufzählen (z.B. § 44 Abs. 1 Satz 1 KWG: „Auskünfte über alle Geschäftsangelegenheiten zu erteilen, Unterlagen vorzulegen und erforderlichenfalls Kopien anzufertigen“; vgl. auch § 4 Abs. 3 Satz 1 Fahrpersonalgesetz (FpersG)).
Behördliche Aufgabenerfüllung: Eine Herausgabepflicht lässt sich auch nicht einfach daraus ableiten, dass die Unterlagen „erforderlich“ sind, damit die Aufsichtsbehörden ihre Überwachungs- und Untersuchungsaufgaben gem. Art. 57 Abs. 1 lit. a, f und h DSGVO wahrnehmen können (so aber Eichler in Gola, DSGVO, 2. Aufl. 2018, Rz. 6; Polenz in Simitis/Hornung/Spiecker gen. Döhmann, DSGVO 2019, Art. 58, Rz. 10). Die Befugnisse der Aufsichtsbehörden sind in Art. 58 DSGVO sehr detailliert aufgezählt und getrennt von den Aufgaben der Behörden, die in Art. 57 DSGVO definiert werden. Eine Norm, die den Datenverarbeiter verpflichtet, alles zu unternehmen (einschließlich Auskünften und der Herausgabe von Unterlagen), soweit dies zur Aufgabenerfüllung durch die Behörden „erforderlich“ ist, gibt es nicht. Vielmehr sind die Eingriffsbefugnisse der Behörden in Art. 58 DSGVO detailliert und abschließend geregelt. Eine Vorschrift, die den Datenverarbeiter zur Herausgabe von Unterlagen verpflichtet, gibt es in Art. 58 DSGVO nicht.
Verfassungsrechtlich ergibt sich aus dem Gesetzesvorbehalt und dem Wesentlichkeitsgrundsatz, dass sich aus Normen, die eine Auskunftsverpflichtung regeln (Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG), keine weitergehenden Verpflichtungen der Bürger zur Herausgabe von Unterlagen ableiten lassen. Eine tragfähige gesetzliche Grundlage für Herausgabeanordnungen der Aufsichtsbehörden ist Art. 58 Abs. 1 lit. a DSGVO somit nicht. Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG berechtigt die Aufsichtsbehörden, die Herausgabe von Unterlagen anzuordnen.
Neben dieser werden viele weiterführenden Fragen aufgeworfen und beantwortet, denn es ist natürlich von Interesse,
- ob die Aufsichtsbehörde eine Befugnis zur Herausgabeanordnung besitzt,
- ob und inwieweit ein Aussageverweigerungsrecht eine Rolle im Zusammenhang mit der Herausgabe von Unterlagen spielt und
- ob es überhaupt empfehlenswert ist, die Herausgabe von Unterlagen zu verweigern.
