Das erste Urteil zur EU-Datenschutzgrundverordnung (DSGVO) liegt vor, erlassen hat es das Verwaltungsgericht Karlsruhe. Auch wenn die Richter klar machten, dass die neue DSGVO erst ab dem 25. Mai 2018 gilt, verdeutlicht das Urteil, dass für betroffene Stellen nur noch wenig Zeit zur Umsetzung der datenschutzrechtlichen Vorgaben verbleibt.

Die neuen Vorgaben der DSVGO

Im entschiedenen Fall hatte der Landesbeauftragte für den Datenschutz Baden-Württemberg eine Wirtschaftsauskunftei aufgefordert, ihre Datenlöschkonzeption an die neuen Vorgaben der DSGVO anzupassen bzw. mitzuteilen, dass sie dazu bereit sei, und erließ anschließend eine entsprechende datenschutzrechtliche Verfügung. Laut Landesbeauftragtem sollten so „Missstände verhindert werden, die nach dem 24. Mai 2018 zu erwarten seien“.

Arbeiten am „Code of Conduct“

Der 24. Mai 2018 ist der Stichtag, ab dem betroffene Stellen bzw. Unternehmen ihre Überprüfungs- und Datenlöschkonzeptionen an die neuen Vorgaben der DSVGO angepasst haben müssen. Allerdings sind noch viele Fragen ungeklärt. Die betroffene Auskunftei hatte sich daher in dem Streit mit dem Landesbeauftragten auch auf laufende Abstimmungen zwischen der Arbeitsgruppe Auskunfteien des Düsseldorfer Kreises, einem informellen Gremium der Datenschutzaufsichtsbehörden des Bundes und der Länder, und dem Verband der Wirtschaftsauskunfteien berufen. Diese erarbeiten derzeit einen sogenannten „Code of Conduct“. Dem beteiligten Verband gehört die Auskunftei selbst an.

Das genügte dem Landesbeauftragten allerdings nicht, er erwartete eine verbindliche Zusicherung der Auskunftei, dass sie die neuen Überprüfungs- und Löschfristen einhalten wird. Es sei ungewiss, so der Landesbeauftragte, ob die Auskunftei den Zeitraum bis zur Geltung der Verordnung zur Anpassung an die neuen Vorgaben nutzen werde.

DSGVO gilt ab dem 24. Mai 2018

Das wiederum genügte den Karlsruher Richtern nicht. Die Verfügung richte sich nicht gegen gegenwärtige Datenschutzverstöße, so die Richter, sondern wolle Missstände verhindern, die nach dem 24. Mai 2018 zu erwarten seien. Dafür fehle es aber an einer Rechtsgrundlage. Das künftige Verhalten der Auskunftei sei „nicht durch ein bereits in Kraft getretenes Vertragswerk oder eine vergleichbare tragfähige Grundlage deutlich vorgezeichnet“. Vielmehr sei noch völlig ungewiss, wie die Prüf- und Löschpraxis der Auskunftei künftig unter Geltung der DSGVO aussehen wird und ob diese rechtswidrig sein wird, zumal auch der genaue rechtliche Rahmen hierfür noch unklar sei, so die Karlsruher Richter (Az. 10 K 7698/16).   (jb)