Datenübermittlung durch einstweilige Verfügung

Eine einstweilige Verfügung kann eine fehlende Weisung des Verantwortlichen, Daten durch den Auftragsverarbeiter auf einen anderen Verantwortlichen zu übertragen, ersetzen.

Ein Steuerberaterbüro X, das Steuerberatungsleistungen und Lohnbuchhaltung für eine Apotheke durchführte, nahm einen IT-Dienstleister als Auftragsverarbeiter in Anspruch, auf dessen Servern die entsprechenden Daten gespeichert waren. Das Steuerberaterbüro X beschwerte sich darüber, dass der IT-Dienstleister ohne Zustimmung des Steuerbüros den Datensatz zu der betreffenden Apotheke auf ein anderes Steuerberaterbüro Y übertragen hatte.

Vorausgegangen war eine von der Apotheke gegen das erste Steuerberaterbüro X erstrittene einstweilige Verfügung, wodurch das Steuerberaterbüro X verpflichtet wurde, der Übertragung des Datensatzes auf das neue Steuerberaterbüro Y zuzustimmen. Diese einstweilige Verfügung hatte die Apotheke durch den Gerichtsvollzieher direkt dem IT-Dienstleister vorgelegt, der daraufhin den Datensatz an Y übertragen hatte, indem er die vormaligen Zugriffsrechte des Steuerberaterbüros X aufhob und nunmehr dem Steuerberaterbüro Y Zugriffsrechte einräumte.

Die einstweilige Anordnung war einige Monate später in der zweiten Instanz aufgehoben worden. X sah nun in der zwischenzeitlich auf Basis der einstweiligen Anordnung erfolgten Übertragung der Daten durch seinen Auftragsverarbeiter an Y ein eigenmächtiges Handeln des Auftragsverarbeiters und damit einen Verstoß gegen die Pflicht des Auftragsverarbeiters, nur gemäß den Weisungen des Verantwortlichen zu handeln (Art. 28 Abs. 2 Satz 2 Buchstabe a DSGVO).

Nach Bewertung der Aufsichtsbehörde hatte sich der Auftragsverarbeiter datenschutzrechtlich korrekt verhalten. Zwar hatte der Verantwortliche – sein Auftraggeber, das Steuerberaterbüro X – der Übertragung der Daten an Y nicht zugestimmt, sodass keine Weisung von X zur Übertragung des Datenbestands vorlag. Die von der Apotheke erstrittene einstweilige Verfügung fingierte jedoch entsprechend § 894 ZPO die (fehlende) Zustimmungserklärung zur Übertragung des Datenbestands; zwar ist in der zivilrechtlichen Literatur die analoge Anwendung der Zustimmungsfiktion nach § 894 ZPO auf eine einstweilige Verfügung streitig; im konkreten Fall hatte jedoch das zuständige Gericht eine solche einstweilige Verfügung getroffen. Der Auftragsverarbeiter handelte somit bei der Datenübertragung nicht ohne oder entgegen der Weisung seines Auftragsverarbeiters, sondern die einstweilige Verfügung ersetzte die fehlende Weisung des Verantwortlichen, wonach die Daten auf Y zu übertragen sind.

Quelle: BayLDA

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
• Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
• Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
• Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
• Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
• Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO

Dieser Absatz enthält Affiliatelinks/Werbelinks