Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) verhängte gegen zwei Verantwortliche Geldbußen wegen missbräuchlicher Verwendung von Grundbuchdaten. Der Fall veranschaulicht, dass personenbezogene Daten, die zwar frei einsehbar sein mögen, dennoch datenschutzrechtlichen Schutz genießen und nicht zur freien Verfügung stehen.
Hintergrund des Bußgeldes
Ein Grundstückseigentümer erhielt ein Schreiben eines Bauträgers mit einem Kaufangebot für sein Grundstück. Das Schreiben enthielt keine Information über die Herkunft der Daten des Grundstückeigentümers. Auch die darauffolgende Nachfrage beim Bauträger blieb unbeantwortet. Insbesondere wollte der Grundstückseigentümer wissen, woher der Bauträger wusste, wer Eigentümer des Grundstücks ist.
Der Grundstückseigentümer wandte sich sodann an den LfDI Baden-Württemberg. Dieser ermittelte, dass die Daten von einem Vermessungsingenieur stammen, der von seiner Befugnis zur Einsichtnahme ins elektronische Grundbuch im automatisierten Abrufverfahren Gebrauch gemacht hatte. Auf diese Weise identifizierte der Vermessungsingenieur in zwei Fällen mehrere hundert Grundstückseigentümer und gab deren Daten an den Bauträger weiter. Der Bauträger verwendete die Daten, um die Eigentümer anzuschreiben und ihnen ein Kaufangebot zu unterbreiten. Über die Herkunft der Daten informierte er nicht.
Der LfDI Baden-Württemberg stellte eine Verletzung der datenschutzrechtlichen Regeln fest und verhängte gegen das Bauträgerunternehmen und den Vermessungsingenieur laut Pressemitteilung Geldbußen in Höhe von 50.000 und 5.000 Euro.
Tipp: Wir kommentieren regelmäßig verhängte DSGVO-Bußgelder und erläutern, was andere Unternehmen tun können, um solche Strafen zu vermeiden!
Datenschutzrechtliche Einschätzung
Rechtsgrundlage für die Datenverarbeitung
Der LfDI Baden-Württemberg stellte zunächst einen Verstoß gegen Art. 6 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) fest.
Dieser verlangt für jede Datenverarbeitung eine gültige Rechtsgrundlage, etwa die Einwilligung der betroffenen Person oder das Vorhandensein eines berechtigten Interesses des Verantwortlichen.
Im vorliegenden Fall käme lediglich das berechtigte Interesse der datenverarbeitenden Stellen in Betracht. Ob eine Datenverarbeitung auf ein berechtigtes Interesse gestützt werden kann, wird in drei Schritten geprüft:
- der Verantwortliche oder ein Dritter muss ein berechtigtes Interesse an der Datenverarbeitung haben,
- die Verarbeitung muss erforderlich sein, um das identifizierte berechtigte Interesse zu erreichen bzw. wahren und
- die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen dürfen nicht überwiegen.
Die dritte Voraussetzung sah der LfDI Baden-Württemberg als nicht erfüllt an. Ausschlaggebend hierfür war, dass zwischen dem Bauträger und den Eigentümern keine vorherige Geschäftsbeziehung bestand. Grundstückseigentümer müssen nicht davon ausgehen, dass ihre im Grundbuch veröffentlichten Daten für werbliche Ansprachen verwendet werden.
In die Bewertung floss auch die Tatsache ein, dass die Daten aufgrund einer gesetzlichen Pflicht erhoben und im Grundbuch veröffentlicht wurden. Demzufolge konnten die Grundstückseigentümer sich gegen diese Verarbeitung nicht wehren, indem sie beispielsweise der Verarbeitung widersprechen. Nach dem Willen des Gesetzgebers erfolgt die Veröffentlichung dieser Daten jedoch nicht mit dem Zweck, werbliche Ansprachen zu ermöglichen, sondern um Rechtssicherheit bei Grundstücksgeschäften zu schaffen.
Der LfDI Baden-Württemberg kam somit zum Ergebnis, dass die Datenverarbeitung nicht auf berechtigte Interessen der beiden Unternehmen gestützt werden konnte. Somit bestand für die in Rede stehende Datenverarbeitung keine gültige Rechtsgrundlage.
Informationspflichten bei indirekter Erhebung von Daten
Des Weiteren stellte die Behörde einen Verstoß gegen die in Art. 14 DSGVO verankerten Informationspflichten fest.
Nach der DSGVO müssen Verantwortliche die betroffenen Personen über die durch sie durchgeführte Datenverarbeitung informieren.
- In den meisten Fällen werden die Daten direkt bei der betroffenen Person erhoben; in solchen Fällen ergibt sich die entsprechende Informationspflicht aus Art. 13 DSGVO.
- Bei indirekter Erhebung von Daten – d.h. bei einer Erhebung von Daten bei einem Dritten statt unmittelbar bei der betroffenen Person – ergibt sich die Pflicht jedoch aus Art. 14 DSGVO.
Der Katalog von Informationen, die den betroffenen Personen zur Verfügung gestellt werden müssen, ist in beiden Fällen sehr ähnlich. Der wesentliche Unterschied besteht darin, dass bei einer indirekten Erhebung von Daten zusätzlich auch Angaben zu den Quellen der Daten gemacht werden müssen.
Das verantwortliche Bauträgerunternehmen stellte den betroffenen Personen die vorgesehenen Informationen nicht zur Verfügung und legte insbesondere auch nicht offen, woher die Daten stammen. Somit verstieß es gegen Art. 14 DSGVO.
Fazit
Die Entscheidung des LfDI Baden-Württemberg zeigt, dass sich Unternehmen vor einer Datenverarbeitung auch dann Gedanken über deren Rechtmäßigkeit machen müssen, wenn die Daten aus öffentlichen Quellen stammen. Dies betrifft nicht nur Grundbuchdaten, sondern auch etwa Daten, die in sozialen Medien oder in Impressen von Websites veröffentlicht sind.
Trotz der Tatsache, dass solche Daten für jedermann oder für einen bestimmten Personenkreis öffentlich einsehbar sind, ist deren Verarbeitung nur dann DSGVO-konform, wenn hierfür eine gültige Rechtsgrundlage besteht und die Betroffenen über die Datenverarbeitung ausreichend informiert wurden.
Im Zweifel sind Unternehmen gut beraten, eine geplante Datenverarbeitung frühzeitig durch Experten prüfen zu lassen.
Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!