Zu den Kosten einer datenschutzrechtlichen Kontrolle

27.01.2008

Bei einem vermuteten Datenschutzverstoß, der zu einem Ermittlungsverfahren der zuständigen Aufsichtsbehörde führt, die dann tatsächlich einen Verstoß zu Tage fördert, drohen der verarbeitenden Stelle nicht nur ein Bußgeld sondern auch Verwaltungskosten für die stattgefundene Untersuchung. Entschieden wurde dies vom VG Lüneburg vom 05.07.2007, Az.: 1 A 132/05. Somit besteht bei einer veranlassten Prüfung durch den Datenschutzbeauftragten nicht nur die Gefahr der Peinlichkeit bei Bekanntwerden sowie die Geafhr eines Bussgelds, sondern auch noch die Wahrscheinlichkeit, dass ein Gebührenbescheid ins Haus flattert.

Hintergrund: Ein Betroffene hatte den niedersächsischen Landesdatenschutzbeauftragten über mögliche Datenschutzverstöße eines Unternehmens informiert. Dieser griff (als zuständige Behörde) die Vorwürfe auf und startete behördliche Nachforschungen. Eine Zuwiderhandlung gegen die datenschutzrechtlichen Vorschriften konnte dann auch (im Rahmen der Ermittlungen) festgestellt werden. Danach erging dann gegenüber dem Unternehmen ein Kostenfestsetzungsbeschluss über 350 EUR für die behördlichen Ermittlungen.

Der betroffene Unternehmer hielt den bescheid über 350 Euro für unberechtigt und rief das Verwaltungsgericht an. Das Gericht aber bestätigte die Rechtmäßigkeit des Kostenbescheids und urteilte, dass sofern tatsächlich ein Datenschutzverstoß vorliege, die Verwaltungskosten der Unternehmer zu tragen hat. Nur wenn kein Verstoß gefunden wird scheidet eine Kostenfestsetzung aus.

 Das Urteil im Volltext

Tatbestand

Die Klägerin wendet sich gegen die Kosten einer datenschutzrechtlichen Kontrolle.

Sie betreibt eine kleine Detektei, die seit Februar 2002 ihren Sitz in Niedersachsen hat. Mit Schreiben vom 25. Oktober 2004 erhob ein Betroffener gegenüber dem Beklagten Einwände gegen die Art und Weise der Datenermittlung und der Weitergabe durch die Klägerin. Der Beklagte leitete daraufhin schriftliche Ermittlungen gegen die Klägerin ein und informierte den Betroffenen.

Mit Verfügung vom 18. April 2005 informierte der Beklagte die Klägerin über das Ergebnis der Kontrolle, gab Hinweise für die künftige Behandlung von erhobenen Daten, forderte eine organisatorische Anweisung und entschied, dass die Klägerin die Kosten (Gebühren) für die Kontrolle zu tragen habe.

Mit gesonderten Bescheid vom 18. April 2005 (zur Post gegeben am 19.4.2005) setzte der Beklagte gegenüber der Klägerin für die Kontrolle Kosten in Höhe von 350 EUR fest und verwies zur Begründung auf den Kostentarif Nr. 23.4 der Anlage zur Allgemeinen Gebührenordnung.

Gegen den Kostenfestsetzungsbescheid hat die Klägerin am 20. Mai 2005 Klage erhoben.

Während des Klageverfahrens hat der Beklagte seinen Abschlussbericht vom 18. April 2005 mit Verfügung vom 14. November 2005 korrigiert und ergänzt. Er hat darin drei datenschutzrechtliche Verstöße der Klägerin festgestellt, auf eine Ahndung dieser Verstöße wegen der komplizierten Rechtslage aber verzichtet. Die Kostengrund- sowie die Kostenfestsetzungsentscheidung blieben unverändert.

Zur Begründung der aufrechterhaltenen Klage trägt die Klägerin vor, die Voraussetzungen für eine Kostenerhebung seien nicht gegeben. Den Arbeitsaufwand von 3,5 Stunden habe der Beklagte nicht nachgewiesen; er werde bestritten. Der Beklagte habe den Sachverhalt rechtlich unzutreffend bewertet und deshalb unnötige Ermittlungen und Erwägungen angestellt. Der korrigierte Abschlussbericht über die datenschutzrechtliche Kontrolle vom 11. November 2005 könne nicht Grundlage der Kostenfestsetzung sein. Die von dem Beklagten gerügten datenschutzrechtlichen Verstöße lägen nicht vor. Der Beklagte habe das ihm eingeräumte Ermessen, auf die Gebühr ganz oder teilweise zu verzichten, nicht ausgeübt. Allein deshalb sei der angefochtene Bescheid aufzuheben.

Die Klägerin beantragt,

den Kostenfestsetzungsbescheid des Beklagten vom 18. April 2005 aufzuheben.

Der Beklagte beantragt,

die Klage abzuweisen. 

Zur Begründung trägt er vor, die Gebühr sei zutreffend erhoben worden. Anhand des Ablaufs des Verfahrens legt er dar, dass 3,15 Arbeitsstunden für die gesamte Kontrolle angefallen seien. Ein Verzicht oder Teilverzicht auf die Gebühr komme angesichts dessen, dass drei Verstöße festgestellt worden seien, nicht in Betracht. Die Frage eines Kostenerlasses wegen unrichtiger Sachbehandlung gemäß § 11 Abs. 1 NVwKostG sei nicht im Rahmen des Kostenfestsetzungsbescheides zu prüfen, sondern im Rahmen der Kostengrundentscheidung. Die Kostengrundentscheidung sei aber nicht angegriffen worden.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte und der Verwaltungsvorgänge des Beklagten Bezug genommen.

Entscheidungsgründe

Die Klage ist zulässig, aber nicht begründet.

Der angefochtene Kostenfestsetzungsbescheid des Beklagten vom 18. April 2005 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO).

Rechtsgrundlage für die angegriffene Gebührenerhebung sind hier die §§ 1, 3, 5 NVwKostG i.V.m. § 1 ALLGO sowie Nr. 23.4 i.V.m. Nr. 23.1 der Anlage zur Allgemeinen Gebührenordnung (Kostentarif). Nach § 1 Abs. 1 NVwKostG werden für Amtshandlungen in – wie hier – Angelegenheiten der Landesverwaltung nach dem Niedersächsischen Verwaltungskostengesetz Kosten (Gebühren und Auslagen) erhoben, wenn die Beteiligten zu der Amtshandlung Anlass gegeben haben. Die einzelnen Amtshandlungen, für die Gebühren erhoben werden sollen, und die Höhe der Gebühren sind in Gebührenordnungen zu bestimmen (§ 3 Abs. 1 Satz 1 NVwKostG). Nach § 3 Abs. 3 Satz 1 NVwKostG sind die gebührenpflichtigen Amtshandlungen und die Höhe der Gebühren in einer allgemeinen Gebührenordnung zu bestimmen, die das Finanzministerium im Einvernehmen mit den jeweils zuständigen Ministerien erlässt. Kosten- bzw. Gebührenschuldner ist derjenige, der zur Amtshandlung Anlass gegeben hat (§ 5 Abs. 1 Satz 1 NVwKostG). In § 1 Abs. 1 der aufgrund von § 3 NVwKostG ergangenen allgemeinen Gebührenordnung ist u.a. bestimmt, dass für Amtshandlungen der Landesverwaltung Gebühren und Pauschbeträge für Auslagen nach dieser Verordnung und dem nachstehenden Kostentarif (Anlage) zu erheben sind. In Nr. 23.4 des Kostentarifs ist geregelt, dass für Kontrollen nach § 38 Abs. 1 BDSG eine Gebühr nach Nr. 23.1 des Kostentarifs zu erheben ist. In 23.1 des Kostentarifs ist festgelegt, dass je angefangene halbe Stunde und ein gesetzter Bediensteter oder eineingesetztem Bediensteten eine Gebühr von 50 EUR zu erheben ist. Nach der Anmerkung zu Nr. 23.4 des Kostentarifs kann auf die Gebühr ganz oder teilweise verzichtet werden, wenn ein Verstoß gegen datenschutzrechtliche Bestimmungen nicht festgestellt wird.

Die Voraussetzungen für eine Gebührenerhebung nach diesen Vorschriften sind hier erfüllt. Der Beklagte hat als Landesbehörde bei der Klägerin eine Kontrolle nach § 38 Abs. 1 BDSG durchgeführt. Die Klägerin hat zu dieser Kontrolle auch Anlass gegeben, da aufgrund der Eingabe eines Betroffenen von datenschutzrechtlichen Unzulänglichkeiten ausgegangen werden musste, die sich dann zum Teil auch bestätigt haben.

Die Gebühr ist auch der Höhe nach zutreffend festgesetzt worden. Der Beklagte ist von einem nachgewiesenen Arbeitsaufwand von 3 Stunden und 15 Minuten ausgegangen. Dieser im Einzelnen in den Veraltungsvorgängen dokumentierte (Blatt 31 der Beiakte A) Arbeitsaufwand ist in sich schlüssig und plausibel und nicht zu beanstanden. Soweit für das Einlesen in den Fall und den bereits durch den hamburgischen Datenschutzbeauftragten ergangenen Bescheid vom 3. Dezember 1998 insgesamt 25 Minuten angesetzt sind, hält die Klägerin diesen Aufwand selbst für angemessen. Die Kammer hat an der Angemessenheit ebenfalls keine Zweifel. Soweit für die Auswertung und die Abfassung eines Vermerkes 1:20 Arbeitsstunden angesetzt sind, ist dies entgegen der Auffassung der Klägerin nicht überzogen, sondern angemessen. Die datenschutzrechtliche Beurteilung der Aufgaben und Pflichten einer Detektei stellte sich im Jahre 2004 noch als rechtlich kompliziert dar. Dies zeigt bereits der Umstand, dass eine datenschutzrechtliche Anordnung zur Sicherstellung der Rechtmäßigkeit einer Datenerhebung gegenüber der Klägerin vom Verwaltungsgericht Hamburg im November 2002 als rechtmäßig angesehen wurde und diese Entscheidung erst durch Urteil des Oberverwaltungsgerichts Hamburg vom 7. Juli 2005 (1 BF 172/03 – NJW 2006, 310) geändert worden ist und nunmehr rechtliche Klarheit gebracht hat. Rechtlich umstritten ist weiterhin, ob die Tätigkeit von Detekteien nach § 28 BDSG oder § 29 BDSG zu beurteilen ist. Wegen dieser rechtlich nicht einfachen Materie ist es nicht zu beanstanden, dass der Sachbearbeiter neben der Auswertung auch einen Vermerk für den Behördenleiter gefertigt hat, damit dieser eine abschließende Entscheidung treffen konnte. Bedenken begegnet schließlich auch nicht der Ansatz von insgesamt 90 Minuten für die Fertigung des Abschlussberichts einschließlich der Kostengrundentscheidung vom 18. April 2005. Da der Bescheid von Form und Inhalt her deutlich anders abzufassen war als der Vermerk, ist hier ein Arbeitsaufwand für den Entwurf von 50 Minuten nicht unangemessen. Der Ansatz von weiteren 40 Minuten für Ergänzungen und Korrekturen und Rücksprache mit dem Behördenleiter, dem die abschließende Entscheidung ja oblegen hatte, halten sich im Rahmen des üblichen und sind nicht überzogen. Bei den danach insgesamt angefallenen drei Stunden und 15 Minuten Arbeitszeit ergibt sich zutreffend eine Gebühr in Höhe von 350 EUR. In Anbetracht dessen, dass hier Arbeitszeiten des Leiters der Behörde sowie Zeiten für das Antwortschreiben an den Einwender nicht berücksichtigt wurden, kann die Gebühr nicht als unverhältnismäßig angesehen werden.

Entgegen der Auffassung der Klägerin kommt hier ein teilweiser oder vollständiger Verzicht auf die Gebühr nicht in Betracht. Nach der Anmerkung zu Nr. 23.4 des Kostentarifs kann auf die Gebühr nur dann ganz oder teilweise verzichtet werden, wenn ein Verstoß gegen datenschutzrechtliche Bestimmungen nicht festgestellt wird. Im vorliegenden Fall sind jedoch drei datenschutzrechtliche Verstöße festgestellt worden, so dass eine Ermessensentscheidung für den Beklagten nicht eröffnet ist. Ob letztlich alle im Schreiben vom 14. November 2005 noch gerügten Verstöße tatsächlich vorgelegen haben, kann für die Kostenentscheidung hier dahinstehen. Denn unbestritten ist, dass die Klägerin die nach   § 4 d Abs. 1 BDSG erforderliche Meldung an die zuständige Aufsichtsbehörde nicht vorgenommen hatte, wie sie selbst einräumt. Nicht zu beanstanden ist auch die Bewertung des Beklagten, dass die Klägerin einen Datenschutzbeauftragten gemäß § 4 f Abs. 1 Satz 1 BDSG zu bestellen hätte. Ein Ausnahmetatbestand hiervon war im Hinblick auf § 4 f Abs. 1 Satz 6 BDSG nicht gegeben. Angesichts dieser beiden Verstöße kann dahinstehen, ob für die Klägerin eine Ausnahme von der Benachrichtigungspflicht gemäß § 33 Abs. 2 Nr. 7 b BDSG vorgelegen hat mit der Folge, dass insoweit ein Verstoß nicht vorgelegen hätte.

Schließlich ist im vorliegenden Kostenverfahren ein Erlass der Kosten wegen unrichtiger Sachbehandlung gemäß § 11 Abs. 1 NVwKostG nicht geboten. Die Heranziehung zu den Kosten scheidet nach dieser Vorschrift nur insoweit aus, als die entstandenen Gebühren auf der unrichtigen Sachbehandlung beruhen. Ergeht eine im Ergebnis rechtmäßige Amtshandlung – trotz unrichtiger Sachbehandlung in Einzelpunkten -, erfolgt eine Kostenerhebung (vgl. Loeser/Barthel, NVwKostG, Loseblattkommentar, Stand: Juli 2005, § 11 Anm. 3.2). Im vorliegenden Fall war die kostenpflichtige datenschutzrechtliche Kontrolle gemäß § 38 Abs. 1 BDSG im Ergebnis geboten, so dass ein Erlass nicht möglich ist. Eine unrichtige Sachbehandlung in Einzelpunkten, die eine Korrektur beim Kostenansatz, hier den Arbeitsstunden, erforderte, liegt aus den obigen Ausführungen zum Stundenansatz ebenfalls nicht vor.

Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. §§ 708 Nr. 11, 711 ZPO.

Gründe, gegen das Urteil die Berufung gemäß § 124 a VwGO i.V.m. § 124 Abs. 2 Nr. 3 oder 4 VwGO zuzulassen, liegen nicht vor.