Maßstab der gerichtlichen Überprüfung bei Datenschutzbeschwerden – Entscheidung des OVG Saarlouis

Hintergrund: Das Beschwerderecht nach Art. 77 DSGVO

Gemäß Art. 77 DSGVO können betroffene Personen bei einer Datenschutzaufsichtsbehörde Beschwerde einlegen, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt. Dieses Recht ist ein zentrales Instrument zur Durchsetzung der Betroffenenrechte aus Kapitel III DSGVO. Doch was geschieht, wenn die Aufsichtsbehörde keine Maßnahmen ergreift und das Verfahren einstellt? Das Oberverwaltungsgericht des Saarlandes (OVG Saarlouis) hatte mit Urteil vom 13. Mai 2025 (Az. 2 A 165/24) darüber zu befinden, nach welchem Maßstab eine solche Entscheidung gerichtlich überprüft wird.

Der Fall: Auskunftsersuchen und Einstellung durch die Aufsicht

Der Kläger hatte bei seinem früheren Arbeitgeber ein Auskunftsersuchen nach Art. 15 DSGVO gestellt, das unbeantwortet blieb. Er wandte sich daraufhin mit einer Beschwerde an die Aufsichtsbehörde. Nach Beendigung des Arbeitsverhältnisses wurde im Kündigungsschutzverfahren ein gerichtlicher Vergleich geschlossen, nach dem mit seiner Erfüllung alle „Ansprüche aus dem Arbeitsverhältnis und dessen Beendigung“ abgegolten sein sollten; datenschutzrechtliche Ansprüche wurden nicht ausdrücklich erwähnt. Die Aufsichtsbehörde stellte das Beschwerdeverfahren ein und begründete dies damit, dass mit dem Vergleich auch auf den datenschutzrechtlichen Auskunftsanspruch verzichtet worden sei. Der Kläger begehrte gerichtlich, die Behörde zur Fortführung des Verfahrens zu verpflichten.

Maßstab der gerichtlichen Kontrolle nach Art. 78 Abs. 1 DSGVO

Nach der Rechtsprechung des EuGH unterliegt die Entscheidung einer Aufsichtsbehörde über eine Beschwerde einer vollständigen inhaltlichen gerichtlichen Kontrolle; das Beschwerdeverfahren ist nicht nur ein petitionsähnliches Verfahren (EuGH, Urteil vom 7.12.2023 – C-26/22 und C-64/22, SCHUFA Holding). Zugleich ist die Behörde nicht verpflichtet, in jedem Fall eines Verstoßes eine Abhilfemaßnahme zu ergreifen; sie verfügt über ein Ermessen hinsichtlich der Auswahl geeigneter und erforderlicher Maßnahmen (EuGH, Urteil vom 26.9.2024 – C-768/21, Land Hessen). An diese Linie knüpft das OVG Saarlouis an: Die Gerichte prüfen, ob die Behörde die gesetzlichen Grenzen ihres Ermessens eingehalten und von ihm in einer dem Zweck entsprechenden Weise Gebrauch gemacht hat (vgl. § 114 Satz 1 VwGO).

Entscheidung des Gerichts: Kein Anspruch auf Fortführung des Verfahrens

Das OVG Saarlouis hielt die Einstellung für ermessensfehlerfrei; die Klage auf Fortführung des Verfahrens blieb ohne Erfolg. Nach Auffassung des Gerichts war der datenschutzrechtliche Auskunftsanspruch von der allgemeinen Abgeltungsklausel des arbeitsgerichtlichen Vergleichs erfasst. Die DSGVO enthalte kein ausdrückliches Verzichtsverbot; der Auskunftsanspruch wurzle wie die Einwilligung im Recht auf informationelle Selbstbestimmung, sodass die betroffene Person über ihn disponieren könne. Ein Anspruch auf Fortführung des Beschwerdeverfahrens bestand daher nicht.

Einordnung: Abgrenzung zur Entscheidung des VG Ansbach

Das VG Ansbach (Urteil vom 8.8.2019 – AN 14 K 19.00272) hat die Voraussetzungen beschrieben, unter denen eine Aufsichtsbehörde gerichtlich zum Einschreiten verpflichtet werden kann: Der Datenschutzverstoß muss feststehen oder zumindest offenkundig sein, und das Entschließungsermessen der Behörde muss auf null reduziert sein. Daran gemessen liegt der Unterschied in der materiellen Ausgangslage: In Saarlouis bestand nach Auffassung des Gerichts bereits kein Auskunftsanspruch mehr, womit sich die Frage nach Maßnahmen der Aufsichtsbehörde nicht stellte. Steht ein Verstoß dagegen fest, ist über das Ob und Wie behördlichen Einschreitens zu entscheiden. Damit wird die Unterscheidung zwischen Entschließungsermessen (ob die Behörde tätig wird) und Auswahlermessen (wie sie tätig wird) deutlich, die in der verwaltungsgerichtlichen Kontrolle datenschutzrechtlicher Entscheidungen zunehmend an Bedeutung gewinnt.

Ob ein pauschaler Verzicht auf DSGVO-Rechte in arbeitsgerichtlichen Vergleichen wirksam ist, ist in der Literatur umstritten; eine höchstrichterliche Klärung steht aus. Nach unserer Einschätzung sollten Arbeitgeber, die sich darauf berufen wollen, den Verzicht auf datenschutzrechtliche Ansprüche ausdrücklich in den Vergleich aufnehmen.

Fazit:

Die Entscheidung des OVG Saarlouis verdeutlicht, dass das Beschwerderecht nach Art. 77 DSGVO zwar ein wirksames Instrument darstellt, die Entscheidung der Aufsichtsbehörde über das weitere Vorgehen jedoch einer gerichtlichen Ermessensprüfung unterliegt. Diese beschränkt sich nicht auf eine bloße Verfahrenskontrolle, sondern umfasst die inhaltliche Rechtmäßigkeit der behördlichen Entscheidung. Gleichwohl bleibt der Behörde Gestaltungsspielraum bei der Bewertung und Behandlung der Beschwerde – insbesondere dann, wenn materiell-rechtlich kein Anspruch mehr besteht.