Inhalt und Gegenstand der Entscheidung
Das BSG hat die Klage der Klägerin zurückgewiesen.
Die Klägerin hatte beim Sozialamt einen Antrag auf Erstattung von Nothilfeleistungen i.H.v. 20 Euro gestellt. Die in diesem Rahmen erfolgende Übermittlung ihrer Daten an das Jobcenter war zwar rechtswidrig, weil die Klägerin als Nothelferin nicht selbst leistungsberechtigt nach dem SGB II war. Der Verstoß erfolgte jedoch vor Geltungsbeginn der Datenschutz-Grundverordnung (DSGVO), die erst das entsprechende Sanktionierungsinstrumentarium gegenüber öffentlichen Stellen enthält. Im Einzelnen:
Die Klage ist nach Auffassung des BSG als kombinierte Anfechtungs- und Verpflichtungsklage (§ 54 Abs. 1 Satz 1 SGG) statthaft, da die Klägerin unter Aufhebung einer insoweit ablehnenden Entscheidung die Verpflichtung des Beklagten zum Erlass eines Aufsichtsmaßnahmen regelnden Verwaltungsakts begehrt und der Erlass aufsichtsrechtlicher Maßnahmen zudem im Ermessen der Behörde vorgenommen wird. Nach dem Gesamtzusammenhang konnte die Klägerin den Bescheid des Landesdatenschutzbeauftragten nach Auffassung des BSG nur so verstehen, dass ihr gegenüber mit Bestandskraft die Vornahme aufsichtsrechtlicher Maßnahmen verbindlich abgelehnt werden sollte und es sich damit um einen anfechtbaren Verwaltungsakt handelte, auch wenn der Bescheid keine exponierten und ausdrücklich formulierten Verfügungssätze enthielt.
Die Klagebefugnis für eine Klage auf Verurteilung zum Erlass aufsichtsbehördlicher Maßnahmen folgt aus Art. 78 Abs. 1 DSGVO („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“; vgl. zur Anwendung des SGG auch § 81a Abs. 2 SGG). Danach unterliegt ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde zwecks wirksamen gerichtlichen Rechtsschutzes einer vollständigen inhaltlichen Überprüfung durch ein Gericht. Die in Art. 78 Abs. 1 DSGVO vorgesehene gerichtliche Kontrolle beschränkt sich in dieser Weise nämlich nicht im Sinne eines petitionsähnlichen Verfahrens auf die Prüfung, ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis gesetzt hat, sondern beinhaltet ein einklagbares Recht auf ermessensfehlerfreie Entscheidung der datenschutzrechtlichen Aufsichtsinstanz (EuGH, Urt. v. 07.12.2023 - C-26/22 Rn. 53).
Die Übermittlung der personenbezogenen Daten der Klägerin an das Jobcenter war zwar rechtswidrig, denn der Anspruch auf Ersatz von Aufwendungen als Nothelfer kommt ausschließlich als Leistung der Sozialhilfe nach dem SGB XII in Betracht; eine entsprechende Anspruchsgrundlage eines Dritten auf Erstattung der Kosten für geleistete Hilfe kennt das SGB II dagegen nicht. Jedoch erfolgte der Verstoß vor Geltungsbeginn der DSGVO, die erst das entsprechende Maßnahmeinstrumentarium gegenüber öffentlichen Stellen enthält, zumal bis dahin auch die Datenübermittlungsbefugnis in § 69 SGB X i.V.m. § 16 SGB I im vorliegenden Fall nicht anwendbar war. So ist insbesondere der Geltungsbeginn der DSGVO auf den 25.05.2018 zu verorten. Erst zu diesem Zeitpunkt wurde das bis dahin allein bestehende Anrufungsrecht des Bundesdatenschutzbeauftragten nach nationalem Recht (§ 81 SGB X i.d.F. vom 18.05.2001 - BGBl I 2001, 904) abgelöst (vgl. BSG, Urt. v. 14.05.2020 - B 14 AS 7/19 R Rn. 14 - BSGE 130, 132 = SozR 4-7645 Art 17 Nr 2), das als Rechtsfolge lediglich eine Auskunftsantwort ohne Regelungsfunktion vorsah (Bieresborn in: Schütze, SGB X, 9. Aufl. 2020, § 81 Rn. 12). Auch die landesdatenschutzrechtliche Anrufungsmöglichkeit nach § 26 HmbDSG beschränkte sich auf die Erledigung der Eingabe in Form von Entgegennahme, sachlicher Prüfung und Bescheidung, berechtigte aber nicht zu formellen Beanstandungen oder weiteren Maßnahmen.
Auch wenn ein „Ergreifen entsprechender Maßnahmen“ durch den Landesdatenschutzbeauftragten nicht verlangt werden konnte, so kommt Art. 78 DSGVO als Anspruchsgrundlage für eine von einer datenschutzrechtlichen Aufsichtsbehörde zu veranlassenden „Löschung“ der Daten nach Art. 17 DSGVO gleichwohl in Betracht. Die rechtswidrige Übermittlung an das Jobcenter durch die dort gespeicherten Daten wirkt nämlich über den 25.05.2018 hinaus, so dass die DSGVO zur Anwendung kommt. Insoweit liegt nach Auffassung des BSG allenfalls eine grundsätzlich zulässige unechte Rückwirkung bzw. eine tatbestandliche Rückanknüpfung (vgl. etwa BVerfG, Beschl. v. 25.03.2021 - 2 BvL 1/11 Rn. 53 m.w.N. - BVerfGE 157, 177, 201) vor, weil die Rechtsfolgen einer Norm erst nach ihrer Verkündung eintreten, die aber tatbestandlich von einem bereits ins Werk gesetzten Sachverhalt ausgelöst werden. Die Löschpflicht nach Art. 17 DSGVO setzt im Übrigen auch keinen Antrag der betroffenen Person voraus.
Allerdings war der Landesdatenschutzbeauftragte nicht verpflichtet, ein solches Verfahren aufzunehmen und eine Löschpflicht zu überprüfen, da er für den Erlass solcher Maßnahmen gegenüber dem Jobcenter keine Zuständigkeit besitzt. Zuständig ist nach § 50 Abs. 4 Satz 3 SGB II (i.d.F. des Neunten Gesetzes zur Änderung des Zweiten Buches Sozialgesetzbuch - Rechtsvereinfachung - sowie zur vorübergehenden Aussetzung der Insolvenzantragspflicht vom 26.07.2016 - BGBl I 2016, 1824) für die Datenschutzkontrolle und die Kontrolle der Einhaltung der Vorschriften über die Informationsfreiheit bei der gemeinsamen Einrichtung sowie für die zentralen Verfahren der Informationstechnik nach § 24 BDSG vielmehr der Bundesdatenschutzbeauftragte. Dies konnte europarechtlich jedenfalls nicht geregelt werden. Denn die Bestimmung der jeweils zuständigen Aufsichtsbehörde obliegt allein dem nationalen Gesetzgeber, der seinerseits darüber hinaus aber auch keine Abgabepflicht der unzuständigen an die zuständige Behörde geregelt hat (vgl. im Übrigen die – hier allerdings unanwendbaren – Abgabepflichten der §§ 19 Abs. 2, 40 Abs. 3, 60 Abs. 2 BDSG).
Zu prüfen waren für das BSG schließlich noch weitere verfahrensrechtliche Aspekte der Entscheidung des Landesdatenschutzbeauftragten. Zwar war angesichts der fehlenden Zuständigkeit des Landesdatenschutzbeauftragten davon auszugehen, dass dessen Ermessensentscheidung an einem Verfahrensfehler in Gestalt eines Begründungsmangels litt. Dieser ist nach Auffassung des BSG jedoch unbeachtlich i.S.d. § 46 HmVwVfG, weil er die Entscheidung in der Sache nicht beeinflusst hat. Denn da aufgrund der Geltung alten Rechts dem Landesdatenschutzbeauftragten keine rechtmäßigen Verwaltungsaktbefugnisse gegenüber dem Jobcenter zugestanden haben und deshalb eine Reduktion des Aufsichtsermessens auf null gegeben war, konnte eine Beeinflussung in der Sache nicht gegeben sein. Nicht zuletzt ist eine Heilung der Begründung auch dadurch eingetreten, dass die erforderliche Begründung nach § 45 HmbVwVfG noch rechtzeitig in der letzten Tatsacheninstanz gegeben wurde.
