Die neue Rechtslage im Datenschutzrecht wirft ihre Schatten bereits voraus. Schon Monate vor ihrer Geltung liegt ein erstes Urteil zur Datenschutzgrundverordnung (DSGVO) des Verwaltungsgerichts Karlsruhe vor: In seiner Entscheidung vom 06.07.2017 (Az. 10 K 7698/16) stellt das Gericht sinngemäß klar, dass für die zuständigen Aufsichtsbehörden keine Ermächtigung besteht, die Einhaltung der Vorgaben der DSGVO bereits vor deren Geltung ab 25.05.2017 zu verlangen.
1. Der Fall
Klägerin im Rechtsstreit war eine Auskunftei, die geschäftsmäßig bonitätsrelevante Informationen von Personen sammelt. Beklagte war der Landesbeauftragte für den Datenschutz des Landes Baden-Württemberg. Dieser hatte im Oktober 2016 von der Klägerin die Anpassung ihrer Datenschutzlöschkonzeption an die Vorgaben der DSGVO gefordert. Im darauffolgenden Monat verpflichtete er sie durch eine entsprechende Verfügung zu dieser Anpassung. Gegen diese Verfügung hatte die Klägerin im Dezember 2016 Klage erhoben.
2. Die Entscheidung des Gerichts
Das Verwaltungsgericht Karlruhe gab der Klägerin Recht. Mit Urteil vom 06.07.2017 hat es die Verfügung des Beklagten vom 25.11.2016 aufgehoben und ihm die Verfahrenskosten auferlegt. In den Entscheidungsgründen führt das Gericht dazu folgendes aus:
b) Entgegenden Ausführungen der Beklagten ergibt sich eine Ermächtigungsgrundlage für die angegriffene Verfügung auch nicht aus § 38 Abs. 5 S. 1 BDSG i.V.m. Erwägungsgrund 39 der EU-DSGVO. (…) Denn jedenfalls ergibt sich auch aus dem ergänzend herangezogenen Erwägungsgrund nicht, dass die Klägerin bereits vor Geltung der Verordnung verpflichtet wäre, der Verfügung entsprechende Überprüfungs- und Löschfristen zu schaffen und sie hierzu bereits vor Anwendbarkeit der Verordnung durch die Aufsichtsbehörde verpflichtet werden könnte.Eine frühzeitige Anpassung ihrer Datenschutzlöschkonzeption an die EU-Datenschutzgrundverordnung liegt unzweifelhaft im Interesse der Klägerin, da bei Verstößen gegen das europäische Datenschutzrecht erhebliche Sanktionen drohen (vgl. nur Art. 83 Abs. 5 Buchst. a EU-DSGVO zu Verstößen gegen die Grundsätze der Verarbeitung gemäß Art. 5 EU-DSGVO). Eine Ermächtigung für ein Tätigwerden der Aufsichtsbehörde bereits vor Geltung der EU-Datenschutzgrundverordnung – gewissermaßen um frühzeitig sicherzustellen, dass die künftig anwendbaren Vorschriften unter Berücksichtigung der Rechtsauffassung der Aufsichtsbehörde durch die Verantwortlichen eingehalten werden – lässt sich jedoch weder der Verordnung im Wege einer Vorwirkung, noch den aktuell geltenden Bestimmungen des Bundesdatenschutzgesetzes entnehmen.
c) Soweit der Beklagte auf Art. 58 Abs. 2 Buchst. d EU-DSGVO verweist, wonach jede Aufsichtsbehörde über Abhilfebefugnisse verfügt, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der Verordnung zu bringen, kann die am 25.11.2016 erlassene Verfügung bereits deshalb nicht auf diese Ermächtigungsgrundlage gestützt werden, da diese erst ab 25.05.2018 Gültigkeit beanspruchen wird (vgl. Art. 99 Abs. 2 EU-DSGVO).
3. Das Fazit
Die Entscheidung des Verwaltungsgerichts Karlsruhe stellt etwas klar, das in Artikel 99 DSGVO ohnehin ausdrücklich steht: Die Verordnung gilt ab dem 25. Mai 2018. Erst ab diesem Zeitpunkt sind die Vorgaben der Verordnung einzuhalten und können Aufsichtsbehörden diesbezügliche Aufsichtsmaßnahmen erlassen.
Dass ein erstes Urteil zur Datenschutzgrundverordnung bereits zehn Monate vor ihrer Wirksamkeit ergeht, zeigt allerdings auch, dass die Aufsichtsbehörden die anstehende Rechtsänderung im Auge haben und auf ihre Einhaltung drängen werden. Daher kann jedem Unternehmen nur empfohlen werden, die bis Mai 2018 verbleibende Zeit zu nutzen, um sich auf die neue Rechtslage einzustellen.