VG Hamburg 17. Kammer — 17 E 2756/20 — Beschluss

Entscheidungsdatum: 2020-07-30

Aktenzeichen: 17 E 2756/20

ECLI: ECLI:DE:VGHH:2020:0730.17E2756.20.00

Dokumenttyp: Beschluss

Normen: Art 4 Nr 2 EUV 2016/679, Art 4 Nr 7 EUV 2016/679, Art 58 Abs 2 Buchst d EUV 2016/679

Leitsatz

Die bloße Einlagerung von Akten stellt keine Datenverarbeitung im Sinne der Datenschutz-Grundverordnung dar. Die tatsächliche Sachherrschaft über die in einem Gebäude eingelagerten Aktenbestände begründet für sich genommen noch keine rechtliche Entscheidungsgewalt und daraus folgende datenschutzrelevante Pflichtenstellung.(Rn.27)

Orientierungssatz

Ist eine datenschutzrechtliche Anweisung wegen Fehlens der jeweiligen Tatbestandsvoraussetzungen der Ermächtigungsgrundlage nicht statthaft, kann eine Sicherung sensibler Aktenbestände (hier: alte Patientenakten) eine Frage des gefahrenabwehrrechtlichen Zugriffs der jeweils sachlich und örtlich zuständigen Ordnungsbehörden sein.(Rn.32)

Verfahrensgang

nachgehend Hamburgisches Oberverwaltungsgericht 5. Senat, 15. Oktober 2020, 5 Bs 152/20, Beschluss

Tenor

Die aufschiebende Wirkung der Klage der Antragstellerin vom 6. Juli 2020 gegen Ziffer 1 lit. a des Bescheides des Antragsgegners vom 23. Juni 2020 wird wiederhergestellt.

Die Kosten des Verfahrens trägt der Antragsgegner.

Der Wert des Streitgegenstandes wird auf EUR 2.500 festgesetzt.

Gründe

I.

1 Die Antragstellerin begehrt einstweiligen Rechtsschutz gegen einen datenschutzrechtlichen Anweisungsbescheid.

2 Die Antragstellerin, eine in der Rechtsform einer Gesellschaft mit beschränkter Haftung betriebene Grundstücksgesellschaft, ist Eigentümerin der Liegenschaft an der ..., Nordrhein-Westfalen (Flur..., Flurstück ...). Sie ist die (ehemalige) Schwestergesellschaft der ... GmbH, einer Krankenhausträgergesellschaft. Im Zuge des Erwerbs des zuvor von einer Kirchengemeinde betriebenen Krankenhauses übernahm die Krankenhausträgergesellschaft im Jahr 2005 den Krankenhausbetrieb, während das Grundstück in das Eigentum der Antragstellerin überging. Bei beiden Gesellschaften handelt(e) es sich um 100 %-ige Tochtergesellschaften der ... AG (heute: ... AG), welche ihren Registersitz in Berlin und ihren Hauptverwaltungssitz in Hamburg hat.

3 Die Krankenhausträgergesellschaft, die ... GmbH, meldete im April 2010 Insolvenz an, im Oktober desselben Jahres wurde der Klinikbetrieb eingestellt. Der Insolvenzverwalter gab die Krankenhausimmobilie im Jahr 2011 an die Antragstellerin zurück. Nach Einstellung des Klinikbetriebs verblieben die in Papierform geführten Behandlungsdokumentationen (Patientenakten) in zwei auch ursprünglich zur Unterbringung der Akten vorgesehenen Kellerräumen. Das Krankenhausgebäude stand in der Folgezeit leer und wurde zeitweise durch unterschiedliche Hausmeister betreut. Zuletzt führte auch ein Sicherheitsdienst Außenkontrollen an dem Gebäude durch.

4 Am 10. Mai 2020 verschaffte sich der Youtuber ... Zutritt zu dem ehemaligen Krankenhausgebäude einschließlich der beiden im Keller befindlichen Aktenräume, wobei er auf die zurückgelassenen Patientenakten stieß. Das hierüber auf der Videoplattform „youtube“ auf dem Kanal ... hochgeladene Video (...) sorgte neben einem breiten medialen Echo auch für datenschutzrechtliche Beschwerden ehemaliger Patienten. Einen solchen Beschwerdevorgang leitete der Landesbeauftragte für Datenschutz und Informationssicherheit des Landes Nordrhein-Westfalen am 2. Juni 2020 mit der Begründung an den Antragsgegner weiter, dass die Beschwerde sich gegen die in Hamburg ansässige ... AG, die (ehemalige) Muttergesellschaft der insolventen ... GmbH richte.

5 Die seither von dem Antragsgegner unternommenen Versuche, mit Verantwortlichen der Antragstellerin bzw. der ... AG zur Klärung und zur Etablierung von Abhilfemaßnahmen in Kontakt zu treten, blieben im Wesentlichen fruchtlos: Telefonische Bitten um Rückruf blieben ohne Reaktion oder wurden (auch) von der Geschäftsführerin der Antragstellerin, bei der es sich zugleich um die Datenschutzbeauftragte der ... AG handelt, zurückgewiesen oder nicht entgegengenommen. Auf eine mit der Bitte um Rückruf an die Datenschutzbeauftragte der ... AG gerichtete E-Mail vom 3. Juni 2020 antworte diese mit E-Mail vom 5. Juni 2020 lediglich mit dem Hinweis auf die aus ihrer Sicht fehlende örtliche Zuständigkeit des Antragsgegners.

6 In der Zwischenzeit unternahmen die vor Ort zuständigen Ordnungsbehörden in Abstimmung mit dem Antragsgegner (bauliche) Maßnahmen zur Sicherung des Gebäudes und insbesondere zur Verhinderung des Zutritts Unbefugter zu den Aktenräumen. Nachdem es zu weiteren Versuchen des unbefugten Eindringens durch Dritte kam, beauftragten die Ordnungsbehörden auf ein entsprechendes Amtshilfeersuchen des Antragsgegners eine 24-Stunden-Überwachung durch einen privaten Sicherheitsdienst.

7 Mit Schreiben unter dem 12. Juni 2020 setzte der Antragsgegner die Antragstellerin und die ... AG jeweils von dem beabsichtigten Erlass eines datenschutzrechtlichen Anweisungsbescheids in Kenntnis und gab diesen Gelegenheit zur Stellungnahme.

8 Der jetzige Verfahrensbevollmächtigte der Antragstellerin nahm mit Schreiben vom 22. Juni 2020 für diese Stellung und führte im Wesentlichen aus: Der ehemalige Insolvenzverwalter habe seine Pflicht zur ordnungsgemäßen Aufbewahrung der Patientenakten verletzt. Da die Akten Bestandteil der Insolvenzmasse seien und das Insolvenzverfahren aufgrund der weiter bestehenden Aufbewahrungspflichten nicht hätte beendet werden dürfen, sei der Weg der Nachtragsliquidation einzuschlagen. Darüber hinaus bestehe eine persönliche datenschutzrechtliche Verantwortlichkeit des Insolvenzverwalters.

9 Am 23. Juni 2020 erließ der Antragsgegner einen auf Art. 58 Abs. 2 lit. d Datenschutzgrundverordnung (DSGVO) gestützten Bescheid mit – unter anderem – folgenden Inhalt:

10 1. Die Grundstücksgesellschaft ...mbH wird angewiesen,

11 a. die in den Räumen des ehemaligen ..., Liegenschaft an der ... in ... (Flur ..., Flurstück ...), gelagerten Patientenakten unter Verantwortung eines Arztes oder einer Ärztin an einem Ort einzulagern, an dem die Akten durch ihrem hohen Schutzbedarf entsprechende bauliche oder organisatorische Sicherungsmaßnahmen gegen unbefugten Zugriff und vor Verlust, Zerstörung oder Schädigung geschützt sind;

12 [...]

13 2. Die sofortige Vollziehung der getroffenen Anweisung zu Nr. 1 a wird angeordnet.

14 [...]

15 Zur Begründung – insbesondere zu dem Gesichtspunkt der Inanspruchnahme der Antragstellerin – führte der Antragsgegner im Wesentlichen aus: Die Antragstellerin sei taugliche Adressatin des Bescheides, da sie Verantwortlicher oder Auftragsverarbeiter sei: Für die von Art. 4 Ziffer 7 DSGVO vorausgesetzte Entscheidungsbefugnis der Antragstellerin spreche die Überwachung der Liegenschaft sowie der Rückerhalt sämtlicher Schlüssel. Die besondere Gefahrenlage für die gelagerten Datenbestände rechtfertige die Anordnung der sofortigen Vollziehung.

16 Hiergegen hat die Antragstellerin mit Antrag vom 26. Juni 2020 um einstweiligen Rechtsschutz nachgesucht. Zur Begründung wiederholt und vertieft sie im Wesentlichen ihre Ausführungen aus der Stellungnahme vom 22. Juni 2020. Eine eigene datenschutzrechtliche Verantwortlichkeit folge nicht aus dem Umstand, dass sie das Klinikgelände in den vergangenen Jahren habe überwachen lassen. Die Überwachung habe sich allein auf die Sicherung des Objekts sowie auf die Wahrung ihrer Verkehrssicherungspflichten bezogen.

17 Die Antragstellerin beantragt,

18 die aufschiebende Wirkung einer Klage gegen die Anordnung gemäß Ziffer 1 lit. a des Anweisungsbescheides vom 23. Juni 2020 wiederherzustellen.

19 Der Antragsgegner beantragt,

20 den Antrag abzulehnen.

21 Zur Begründung seines Antrags und insbesondere zur Untermauerung der Heranziehung der Antragstellerin verweist der Antragsgegner im Wesentlichen auf die enge personelle sowie gesellschaftsrechtliche Verflechtung zwischen der insolventen Krankenhausträgergesellschaft, der ... GmbH, der Antragstellerin sowie der (ehemaligen) Konzernmutter ... AG.

22 Am 6. Juli 2020 hat die Antragstellerin Klage erhoben (Az. 17 K 2876/20).

23 Dem Gericht hat bei seiner Entscheidung die Sachakte des Antragsgegners vorgelegen.

II.

24 Der nach § 80 Abs. 5 Satz 1 Alt. 2 VwGO statthafte und auch im Übrigen zulässige Antrag hat auch in der Sache Erfolg.

25 Denn bei der im Verfahren des einstweiligen Rechtsschutzes allein möglichen, aber auch gebotenen summarischen Prüfung der Erfolgsaussichten des Rechtsbehelfs wird die Klage der Antragstellerin voraussichtlich Erfolg haben, da sich der auf Art. 58 Abs. 2 lit. d DSGVO gestützte Anweisungsbescheid des Antragsgegners als rechtswidrig erweist.

26 Nach Art. 58 Abs. 2 lit. d DSGVO verfügt jede Aufsichtsbehörde über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Die tatbestandlichen Voraussetzungen dieser Ermächtigungsgrundlage liegen in gleich mehrfacher Hinsicht nicht vor. So handelt es sich bei der hier in Rede stehenden bloßen Einlagerung der Aktenbestände in dem im Eigentum der Antragstellerin stehenden Klinikgebäude unter keinem rechtlichen Gesichtspunkt um einen (der Antragstellerin zurechenbaren) Verarbeitungsvorgang im Sinne der Datenschutz-Grundverordnung (hierzu 1.). Insofern ist auch nicht ersichtlich, inwieweit es sich bei der Antragstellerin um eine Verantwortliche oder etwa einen Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung handeln soll (hierzu 2.).

27 1. Bei der bloßen Einlagerung der Akten in dem im Eigentum der Antragstellerin stehenden Klinikgebäude handelt es sich unter keinem rechtlichen Gesichtspunkt um einen Verarbeitungsvorgang im Sinne der Datenschutz-Grundverordnung. Nach der in Art. 4 Ziffer 2 DSGVO enthaltenen Begriffsbestimmung bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Das bloße Vorhandensein der Aktenbestände in dem im Eigentum der Antragstellerin stehenden Gebäudekomplex unterfällt bereits keiner der insofern beispielhaft genannten Modalitäten der Datenverarbeitung. Aber auch nach dem Begriffsverständnis der allgemeinen „Verarbeitungsdefinition“, die im Kern einen im Zusammenhang mit personenbezogenen Daten stehenden Vorgang oder eine Vorgangsreihe beschreibt, kann es sich bei der Einlagerung bzw. letztlich dem bloßen Vorhandensein von Datenbeständen nicht um eine Erscheinungsform der Datenverarbeitung handeln. Denn ganz grundlegend zeigt der Begriff des „Vorgangs“ an, dass Verarbeitung nicht einen Zustand, sondern eine Handlung (also die Veränderung eines Zustands) beschreibt. Eine Verarbeitung überführt einen Zustand (insbesondere der Datenkenntnis und -struktur) in einen anderen Zustand. Die Begrifflichkeiten stellen damit klar, dass es sich um eine zurechenbare, willensgetragene menschliche Aktivität handelt, für die dann plausibel rechtliche Verantwortlichkeiten begründet werden können (vgl. Reimer , in: Sydow, Europäische Datenschutzgrundverordnung 2. Auflage, 2018, Art. 4, Rn. 47 -50, m.w.N.). Dies ist in Bezug auf die hier – soweit ersichtlich – seit Einstellung des Krankenhausbetriebes im Jahr 2010 ununterbrochen in den Kellerräumen untergebrachten Akten nicht der Fall. Es ist weder vorgetragen noch anderweitig ersichtlich, dass diese zwischenzeitlich – d.h. nach Einstellung des Krankenhausbetriebes – noch einmal Gegenstand eines von dem Begriffsverständnis der Datenschutz-Grundverordnung umfassten Verarbeitungsvorgangs gewesen sein, also eine im vorgenannten Sinne relevante Zustandsveränderung erfahren haben könnten. Nach dem Verständnis der Kammer ist dem Vorbringen des Antragsgegners nicht zu entnehmen, dass er von einer Zurechnung der noch während des laufenden Krankenhausbetriebes durch die insolvente ... GmbH stattgefundenen Datenverarbeitungsvorgängen, insbesondere der behandlungsspezifischen Erhebungs- und Speicherungsprozesse, ausgeht.

28 2. Nach Einschätzung des Gerichts handelt es sich bei der Antragstellerin auch deshalb nicht um eine taugliche Adressatin des Anweisungsbescheides, da sie weder Verantwortlicher noch Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung ist.

29 Eine juristische Person ist nach Art. 4 Ziffer 7 DSGVO Verantwortlicher, wenn sie allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Vorliegend ist nicht ersichtlich, inwieweit die Antragstellerin, sei es alleine oder auch gemeinsam mit der ... AG, die Entscheidungshoheit über das „Ob“ und „Wie“ einer – nach den obigen Ausführungen hier bereits nicht ersichtlichen – Datenverarbeitung gehabt haben könnte. Soweit der Antragsgegner geltend macht, für eine Entscheidungsbefugnis der Antragstellerin spreche sowohl die mit ihrer Billigung durchgeführte Überwachung der Liegenschaft durch die Hausmeister und den Sicherheitsdienst sowie der Umstand, dass sie nach Einstellung des Klinikbetriebs sämtliche Schlüssel für das Klinikgebäude zurückerhalten habe, folgt die Kammer dem nicht. Die Rückgabe der Schlüssel an einen Vermieter ist Teil der ordnungsgemäßen Abwicklung eines beendeten Mietverhältnisses und führt vorliegend allenfalls dazu, dass auch die tatsächliche Sachherrschaft wieder auf die Vermieterin – die hier zugleich auch Eigentümerin der Mietsache ist – übergeht. Der Umstand, dass eine Überwachung der Liegenschaft durch die Hausmeister und zu einem späteren Zeitpunkt auch durch einen Sicherheitsdienst stattgefunden hat und dies jedenfalls – so kann es trotz der im Einzelnen unklaren Beteiligten und Modalitäten der Vertragsverhältnisse unterstellt werden – mit Billigung der Antragstellerin stattgefunden hat, rechtfertigt keine andere Bewertung. So dürften diese Maßnahmen bei lebensnaher Betrachtung im Schwerpunkt der Erhaltung der Sachsubstanz sowie der Einhaltung der Verkehrssicherungspflichten durch die Antragstellerin geschuldet gewesen sein. Jedenfalls begründet die rein tatsächliche Sachherrschaft für sich genommen noch keine rechtliche Entscheidungsgewalt und damit folgerichtig keine datenschutzrelevante Pflichtenstellung. Dies entspräche nach Auffassung der Kammer andernfalls einer Art datenschutzrechtlicher Garantenpflicht hinsichtlich etwaiger, gegebenenfalls pflichtwidrig von Dritten in einer Mietsache zurückgelassener Datensammlungen, für die es in der Datenschutz-Grundverordnung keine Grundlage gibt. Wie sich bereits aus der Regelung ihres sachlichen Anwendungsbereichs in Art. 2 Abs. 1 ergibt, knüpft die Datenschutz-Grundverordnung Rechtspflichten nicht bereits an die bloße Sachherrschaft über personenbezogene Daten, sondern erst an deren ganz oder teilweise automatisierte Verarbeitung, sofern sie in einem Dateisystem gespeichert worden sind oder gespeichert werden sollen. Die aus einem solchen Umgang mit personenbezogenen Daten erwachsenden spezifischen Gefahren sind es, die spezifische Verantwortlichkeiten begründen und dem Antragsgegner als Aufsichtsbehörde die in Art. 58 DSGVO geregelten spezifischen Befugnisse verleihen. Der reine Besitz eines (analogen) Datenbestandes, der überdies kaum als Dateisystem nach der Legaldefinition in Art. 4 Ziffer 6 DSGVO angesehen werden kann, vermag daher weder eine einschlägige Pflichtenstellung der Antragstellerin noch entsprechende Eingriffsbefugnisse des Antragsgegners zu begründen.

30 Dies gilt auch in Ansehung der von Seiten des Antragsgegners aufgezeigten engen personellen wie gesellschaftsrechtlichen Verflechtung zwischen der Antragstellerin, ihrer insolventen Schwestergesellschaft als ehemaliger Betreiberin des Krankenhauses sowie der (ehemaligen) Konzernmutter, der ... AG (vormals ... AG). So dient die hier vorgenommene Betriebsaufspaltung, also die mithilfe zweier Kapitalgesellschaften getrennt voneinander erfolgte Übernahme der Krankenhausträgergesellschaft auf der einen Seite und der Liegenschaft durch eine reine Besitz- bzw. Grundstücksgesellschaft auf der anderen Seite, neben mutmaßlichen steuerlichen Vorteilen in der Regel jedenfalls auch dem Ziel, das (Betriebs- )grundstück im Falle einer Insolvenz der Betriebsgesellschaft (hier: Krankenhausträgergesellschaft) nicht an der Haftungsmasse des insolventen Unternehmens teilnehmen zu lassen. Realisiert sich der Vorteil dieser gesellschaftsrechtlichen Konstruktion – so wie hier – mit der Insolvenz der Krankenhausträgergesellschaft, führt dies nicht ohne weiteres dazu, dass die noch verbliebene Schwestergesellschaft letztlich allein unter dem Gesichtspunkt ihrer tatsächlichen Sachherrschaft in einer Art (Rechts)nachfolge in die datenschutzrechtliche Verantwortlichkeit einrückt. Denn aufgrund der Feststellungen des Antragsgegners bestehen keine belastbaren Anhaltspunkte dafür, dass in bzw. aus dem Unternehmen der Antragstellerin über das bloße Moment ihrer tatsächlichen Sachherrschaft hinaus Entscheidungen über einzelne – nach dem Vorgesagten hier ohnehin nicht ersichtliche – Datenverarbeitungsvorgänge getroffen worden sein könnten.

31 Vor dem Hintergrund dieser Ausführungen handelt es sich bei der Antragstellerin ebensowenig um einen „Auftragsverarbeiter“ im Sinne der Datenschutz-Grundverordnung und damit nach Art. 4 Ziffer 8 DSGVO um eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

32 Nach vorläufiger Einschätzung der Kammer dürfte die unzweifelhaft notwendige Sicherung der in den Räumen der Antragstellerin befindlichen Aktenbestände nach der gegenwärtigen Sach- und Erkenntnislage im Schwerpunkt eine Frage des gefahrenabwehrrechtlichen Zugriffs der jeweils sachlich und örtlich zuständigen Ordnungsbehörden sein. Allein diesen dürfte dabei zugleich die Prüfung obliegen, ob und inwieweit eine Inanspruchnahme der Antragstellerin oder sogar der ... AG als der ehemaligen Muttergesellschaft der insolventen Krankenhausträgergesellschaft, der ... GmbH, nach den allgemeinen ordnungsrechtlichen Haftungsgrundsätzen in Betracht kommt. Jedenfalls ist der Frage nach einem etwaigen Eintritt der ... AG in die datenschutzrechtliche Verantwortlichkeit ihrer insolventen Tochtergesellschaft, der ... GmbH, im vorliegenden Verfahren nicht weiter nachzugehen. Lediglich ergänzend weist die Kammer darauf hin, dass eine gegenwärtige datenschutzrechtliche Verantwortlichkeit des ehemaligen Insolvenzverwalters der ... GmbH mangels einer irgendwie gearteten Möglichkeit tatsächlicher oder rechtlicher Einwirkungsmöglichkeiten auf die – nach dem Vorgesagten derzeit ohnehin nicht ersichtliche – Datenverarbeitung eher fernliegend sein dürfte.

III.

33 Die Kostenentscheidung folgt aus § 154 Abs. 1 VwGO.

IV.

34 Die Entscheidung über die Festsetzung des Werts des Streitgegenstandes beruht auf § 53 Abs. 2 Nr. 2 i.V.m. § 52 Abs. 2 GKG.