1

Tatbestand

2

Die Klägerin ist Teil der G. A. Gruppe, der größten Privatbank in C., mit Sitz in B.. Sie wendet sich gegen eine datenschutzrechtliche Verwarnung der beklagten Aufsichtsbehörde.

3

Im Rahmen ihrer Geschäftstätigkeit vergibt die Klägerin Verbraucherdarlehen. Für Fälle, in denen Schuldner ihren Pflichten aus dem Darlehensverhältnis nicht nachkommen, unterhält sie eine Forderungsmanagementabteilung, die sogenannte „Collection Business Unit“ (CBU). Diese verfügt über ein eigenes Computersystem, in dem alle gestörten Schuldverhältnisse angelegt sind. Bei Überführung eines Schuldverhältnisses in das CBU-System wird dieses im Kernbankensystem der Klägerin mit einem Schlüssel versehen, so dass dortige Buchungen auch an das CBU-System gemeldet werden. Das CBU-System ist technisch für die Meldung von offenen Salden an die SCHUFA verantwortlich. Allerdings nimmt das System keine sofortige Erledigtmeldung an die SCHUFA vor, wenn ein Saldo auf Null steht. Vielmehr meldet die Klägerin ihrerseits dem für die Forderungsbeitreibung zuständigen Inkassounternehmen, dass die Forderung ausgeglichen ist. Dieses prüft das Bestehen anderweitiger Rechte und Pflichten aus dem zugrundeliegenden Vertragsverhältnis und meldet dann über eine wöchentliche Liste zurück an die Klägerin, dass die Forderung erledigt ist. Nach Eingang der Liste im CBU-System nimmt dieses automatisiert die Erledigtmeldung an die SCHUFA vor.

4

Im Rahmen eines Verbraucherdarlehensvertrages befand sich ein Vertragskunde der Klägerin, Herr P., mit der Bedienung seines Darlehens in Verzug. Nachdem trotz mehrfacher Mahnungen der Klägerin, letztmalig am 00. März 0000, keine Zahlung erfolgte, kündigte diese das Darlehen mit Schreiben vom 00. April 0000. Anschließend meldete sie der SCHUFA die Darlehensbeziehung als gekündigt und beauftragte das Inkassounternehmen T. vormals X. Deutschland GmbH, mit der Beitreibung der Forderung. Das Inkassounternehmen schloss am 0. Mai 0000 eine Ratenzahlungsvereinbarung über 750,00 Euro mit dem Schuldner ab, woraufhin dieser am 6. Juni 2017, 19. Juli 2017, 24. August 2017, 4. Oktober 2017, 23. Oktober 2017, 13. Dezember 2017, 5. Januar 2018, 8. Januar 2018, 12. Januar 2018, 25. Januar 2018 und 14. Februar 2018 Bareinzahlungen zur Bedienung der Ratenzahlungsvereinbarung vornahm. Anders als im Standardprozess vorgesehen, verbuchte der Filialmitarbeiter der Klägerin, der die Zahlungen entgegennahm, diese nicht manuell mit einem entsprechenden Schlüssel, sondern nahm lediglich eine Einzahlung auf das Konto vor. Infolgedessen konnte das Kernbankensystem die Bareinzahlungen nicht an das CBU-System melden. Das CBU-System übermittelte daraufhin am 15. Oktober 2017, 12. November 2017, 10. Dezember 2017 und 14. Januar 2018 turnusmäßig Saldenstände an die SCHUFA, die die Einzahlungen nicht berücksichtigt hatten.

5

Auf Beschwerde des Schuldners korrigierte die Klägerin den unzutreffenden Saldenstand und erließ den restlichen geschuldeten Betrag in Höhe von 357,69 Euro. Am 20. Februar 2018 meldete sie dem Inkassounternehmen den Ausgleich der offenen Forderung. Dieses stellte anschließend zwar die Erledigung der Ratenzahlungsvereinbarung fest, versäumte es aber, die Erledigung in der dafür vorgesehenen wöchentlichen Liste zu vermerken. Nachdem das CBU-System keine Erledigungsmeldung erhielt und die Forderung infolgedessen als gestört führte, meldete es weiterhin offene Salden an die SCHUFA, unter anderem am 10. Juni 2018 (358 Euro), 16. Juli 2018 (359 Euro), 12. August 2018 (359 Euro), 16. September 2018 (359 Euro) und 14. Oktober 2018 (360 Euro).

6

Am 31. Oktober 2018 meldete die Klägerin die Forderung nach erneuter Beschwerde des Schuldners rückwirkend ab 11. Februar 2018 als erledigt. Am 26. November 2020 stellte sie zudem einen Löschantrag bei der SCHUFA. Im Rahmen des aufsichtsbehördlichen Verfahrens räumte sie gegenüber der Beklagten unter anderem in ihren Stellungnahmen vom 15. Oktober 2020, 5. Mai 2021, 23. Juni 2021, 15. November 2021 und 21. Februar 2022 Fehler bei der Übermittlung von Saldenmeldungen an die SCHUFA ein.

7

Mit Bescheid vom 00. März 0000 verwarnte die Beklagte die Klägerin auf Grundlage von Art. 58 der der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO). Durch mehrmalige Falschmeldungen an die SCHUFA habe diese zumindest fahrlässig gegen Art. 5 Abs. 1 d DSGVO verstoßen. Bei Beachtung der allgemeinen Sorgfaltspflicht hätte die Klägerin erkennen müssen, dass Falschmeldungen zu Problemen mit der SCHUFA-Auskunft sowie mit dem für die Bonität einer Person wichtigen Score-Wert führen könnten. Unter Berücksichtigung der Tatsache, dass die Klägerin die fehlerhaften SCHUFA-Meldungen korrigiert, eine Löschung der Daten veranlasst sowie den Restbetrag der Forderung erlassen habe, werde sie ausnahmsweise nur verwarnt.

8

Die Klägerin hat am 00. April 0000 Klage erhoben, zu deren Begründung sie vorträgt: In formaler Hinsicht fehle es an der erforderlichen Anhörung, da ihr zu keinem Zeitpunkt der Erlass eines bestimmten Verwaltungsakts angekündigt worden sei. Überdies sei der Bescheid nicht hinreichend bestimmt. Durch die gesamthafte Bezugnahme auf sämtliche Stellungnahmen im Verwaltungsverfahren sei nicht erkennbar, welcher Tatbestand Gegenstand der behördlichen Missbilligung sei.

9

In der Sache fehle eine Ermächtigungsgrundlage für den angefochtenen Verwaltungsakt. Der zu beurteilende Sachverhalt sei spätestens am 11. Februar 2018 und damit vor Inkrafttreten der Datenschutz-Grundverordnung abgeschlossen gewesen. Dies betreffe auch die unterbliebene Erledigtmeldung. Aufgrund des verfassungsrechtlichen Rückwirkungsverbots sei eine Anwendung der Datenschutz-Grundverordnung somit ausgeschlossen.

10

Selbst wenn man von einer Anwendbarkeit der Verordnung ausgehe, liege kein Verstoß gegen Art. 5 Abs. 1 d DSGVO vor. Der Richtigkeitsgrundsatz dieser Bestimmung sei nicht absolut. Vielmehr komme es darauf an, alle angemessenen Maßnahmen zu treffen, um eine Unrichtigkeit zu beseitigen. Diese Anforderungen habe sie vollumfänglich erfüllt. Im Übrigen könne ihr ein eventueller Verstoß gegen datenschutzrechtliche Vorschriften nicht zugerechnet werden, da das beauftragte Inkassounternehmen bei der Beitreibung der Forderung in eigener Verantwortung tätig geworden sei. Soweit die Beklagte zur Begründung ihres Bescheides nunmehr maßgeblich auf das Fehlen eines internen Systems zur Kontrolle der verarbeiteten Daten abstelle, schiebe sie die Gründe für ihre Verwarnung in unzulässiger Weise nach. Auch in der Sache sei ihr Vorbringen unzutreffend, da sie, die Klägerin, ein ausreichendes internes Kontrollsystem zur stichprobenartigen Überprüfung der Erledigungslisten vorgehalten habe.

11

Im Übrigen sei die ausgesprochene Maßnahme unverhältnismäßig. Da der Vorgang der Meldung von offenen Salden an die SCHUFA vollständig automatisiert erfolgt sei, habe sie keine Möglichkeit gehabt, die fehlerhafte weitere Meldung eines offenen Saldos zu erkennen oder zu unterbinden. Für den Schuldner habe sich durch die unterbliebene Erledigungsmeldung faktisch kein Unterschied für seinen SCHUFA-Score ergeben. Aufgrund der rückwirkenden Löschung des Vorgangs bei der SCHUFA sei er im Ergebnis sogar bessergestellt worden.

12

Die Klägerin beantragt,

13

den Bescheid der Beklagten vom 00. März 0000 aufzuheben.

14

Die Beklagte beantragt,

15

die Klage abzuweisen.

16

Zur Begründung führt sie aus: In formeller Hinsicht habe es weder einer Anhörung der Klägerin noch einer weitergehenden Spezifizierung des zu beurteilenden Sachverhalts bedurft. Bereits im Verwaltungsverfahren habe die Klägerin dargelegt, dass ihr im Rahmen der SCHUFA-Meldungen Fehler unterlaufen seien. Bei Beachtung der ihr obliegenden Sorgfaltspflichten habe sie erkennen können, dass der vorgeworfene Datenschutzverstoß sowohl in den inkorrekten SCHUFA-Meldungen als auch in der unterbliebenen Erledigtmeldung der Forderung liege.

17

Hinsichtlich der Anwendbarkeit der Datenschutz-Grundverordnung sei zwischen der Befugnis der Behörde zum Tätigwerden und dem zugrundeliegenden materiellen Recht zu unterscheiden. Während sich die Frage der Eingriffsbefugnis nach dem Recht zum Zeitpunkt der behördlichen Entscheidung richte, sei für das anzuwendende materielle Recht auf den zu beurteilenden Sachverhalt abzustellen, hier auf die unterbliebene Erledigtmeldung im Oktober 2018.

18

Als Forderungsgläubigerin habe die Klägerin die falsche bzw. unterlassene Meldung an die SCHUFA zu vertreten. Sie sei ihrer Pflicht zur fortlaufenden Kontrolle der „wöchentlichen Liste“ nicht nachgekommen, sondern habe sich insoweit ausschließlich auf ihre automatisierten Prozesse verlassen. Inwieweit der Schuldner durch die rückwirkende Löschung seiner Daten bei der SCHUFA im Ergebnis bessergestellt sei, sei für einen Datenschutzverstoß nicht maßgeblich. Durch eine Löschung könne allenfalls die aus dem Verstoß resultierende Risikofortsetzung reduziert werden.

19

In der mündlichen Verhandlung händigte die Beklagte der Klägerin ein Anhörungsschreiben vom 00. Januar 0000 aus, mit dem dieser eine Stellungnahmefrist bis zum 00. Januar 0000 eingeräumt wurde.

20

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte und des beigezogenen Verwaltungsvorgangs Bezug genommen.

21

Entscheidungsgründe

22

Die Klage hat keinen Erfolg.

23

Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.

24

Vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 25; VG Mainz, Urteil vom 17. Dezember 2020 – 1 K 778/19.MZ –, BeckRS 2020, 41220 Rn. 20; VG Hannover, Urteil vom 27. November 2019 – 10 A 820/19 –, BeckRS 2019, 31874 Rn. 17.

25

Denn mit ihr entstehen für den Adressaten zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.

26

Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.

27

Die Klage ist – abweichend von § 78 Abs. 1 Nr. 1 VwGO – nicht gegen das Land Nordrhein-Westfalen, sondern gemäß § 20 Abs. 5 Satz 1 Nr. 2 Bundesdatenschutzgesetz (BDSG) gegen die Aufsichtsbehörde, mithin die Beklagte zu richten.

28

Vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 27.

29

Die Klage ist jedoch unbegründet.

30

Der Bescheid der Beklagten vom 00. März 0000 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

31

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b DSGVO.

32

Nach ständiger Rechtsprechung des Bundesverwaltungsgerichts ergibt sich die für die gerichtliche Entscheidung maßgebliche Rechtslage aus dem materiellen Recht, dem nicht nur die tatbestandlichen Voraussetzungen einer Ermächtigungsgrundlage oder eines Anspruchs selbst, sondern auch die Antwort auf die Frage zu entnehmen ist, zu welchem Zeitpunkt diese Voraussetzungen erfüllt sein müssen. Maßgeblich ist daher, welche Rechtsvorschriften sich nach ihrem Geltungswillen im Zeitpunkt der Entscheidung für die Beurteilung des Klagebegehrens Geltung beimessen und zwar gleichgültig, ob es sich um eine Feststellungsklage, eine Leistungsklage, eine Anfechtungsklage oder Verpflichtungsklage handelt.

33

Vgl. BVerwG, Urteil vom 2. März 2022 – 6 C 7/20 –, juris Rn. 24; Urteil vom 16. September 2020 – 6 C 10/19 –, juris Rn. 13.

34

Bei Eingriffsmaßnahmen einer Behörde, im Rahmen derer ihr ein Ermessen eingeräumt ist, bezieht sich die gerichtliche Nachprüfung auf den Zeitpunkt der Ausübung des Ermessens, wenn sich aus dem materiellen Recht nichts Abweichendes ergibt.

35

Vgl. BVerwG, Urteil vom 27. März 2019 – 6 C 2/18 –, juris Rn. 10; klarstellend hierzu BVerwG, Urteil vom 16. September 2020 – 6 C 10/19 –, juris Rn. 14.

36

Danach ist hier auf die Sach- und Rechtslage im Zeitpunkt der letzten Verwaltungsentscheidung, hier also der Verwarnung vom 00. März 0000, abzustellen. Denn die Entscheidung über eine Verwarnung nach Art. 58 Abs. 2 b DSGVO steht im Ermessen der Aufsichtsbehörde.

37

Vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 141 m.w.N.

38

Etwas Anderes ergibt sich auch nicht aus dem materiellen Recht. Der Datenschutz-Grundverordnung lässt sich kein Hinweis darauf entnehmen, dass Datenschutzverstöße, die sich vor ihrer Geltung ereignet haben, noch nach altem Recht zu bescheiden wären. Vielmehr beansprucht sie gemäß Art. 99 Abs. 2 DSGVO ab dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten uneingeschränkte Geltung.

39

Vgl. zu Auskunftsansprüchen BVerwG, Urteil vom 2. März 2022 – 6 C 7/20 –, juris Rn. 25.

40

Dementsprechend enthalten auch die deutschen Datenschutzgesetze keine Übergangsvorschriften.

41

Vgl. Art. 8 des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU), BGBl. I, 2097.

42

Formelle Bedenken hinsichtlich des angefochtenen Bescheides bestehen nicht.

43

Die Beklagte ist als Aufsichtsbehörde gemäß § 40 Abs. 1 BDSG in Verbindung mit § 26 Satz 2 Datenschutzgesetz Nordrhein-Westfalen (DSG NRW) für den Erlass der Verwarnung zuständig. Hiernach fällt die Überwachung der Datenverarbeitung durch nichtöffentliche Stellen – um eine solche handelt es sich bei der Klägerin als juristische Person des Privatrechts – im Anwendungsbereich der DSGVO in den Zuständigkeitsbereich der nach Landesrecht zuständigen Behörden. Gemäß Art. 56 Abs. 1 DSGVO ist die Aufsichtsbehörde der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder Auftragsverarbeiters die zuständige federführende Aufsichtsbehörde. Dies ist für Nordrhein-Westfalen – die Klägerin hat ihre Hauptniederlassung in B. – gemäß § 26 DSG NRW die Beklagte.

44

Im Übrigen richten sich die Anforderungen an die formelle Rechtmäßigkeit der angefochtenen Maßnahme gemäß Art. 58 Abs. 4 DSGVO nach dem Recht des betreffenden Mitgliedstaates, das im Einklang mit der Charta der Grundrechte der Europäischen Union und unter Berücksichtigung des Erwägungsgrundes 129 der DSGVO anzuwenden und auszulegen ist.

45

Vgl. VG Hannover, Urteil vom 27. November 2019 – 10 A 820/19 –, BeckRS 2019, 31874 Rn. 22.

46

Durchgreifende rechtliche Bedenken bestehen insoweit nicht. Zwar hat die Beklagte die Klägerin nicht entsprechend den Voraussetzungen von § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW – VwVfG NRW) angehört. Die Klägerin kann eine Aufhebung des Verwaltungsaktes gleichwohl nicht verlangen, da der Anhörungsmangel gemäß § 46 VwVfG NRW unbeachtlich ist.

47

Gemäß § 28 Abs. 1 VwVfG NRW, der grundsätzlich auch bei feststellenden Verwaltungsakten zur Anwendung gelangt, soweit von diesen – wie hier – eine belastende Wirkung für den Betroffenen ausgeht,

48

vgl. Schwarz, in: Fehling/Kastner/Störmer, Verwaltungsrecht, 5. Aufl. 2021, § 28 Rn. 30,

49

ist einem Beteiligten vor Erlass eines Verwaltungsakts, der in seine Rechte eingreift, Gelegenheit zu geben, sich zu den für die Entscheidung relevanten Tatsachen zu äußern. Dies setzt voraus, dass die Behörde dem Betroffenen Gelegenheit zur Äußerung zum Gang des Verfahrens, zum Gegenstand, den entscheidungserheblichen Tatsachen und zum möglichen Ergebnis innerhalb einer angemessenen Frist gibt.

50

Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Aufl. 2024, § 28 Rn. 12.

51

Eine ordnungsgemäße Anhörung beinhaltet regelmäßig die Ankündigung, dass in einem konkreten Einzelfall der Erlass eines bestimmten Verwaltungsakts beabsichtigt sei.

52

Vgl. Herrmann, in: BeckOK, VwVfG, Stand: 1. Oktober 2024, § 28 Rn. 15-16.1; Schneider, in: Schoch/Schneider, VwVfG, 4. EL 2023, § 28 Rn. 40.

53

Denn ohne die Konkretisierung der beabsichtigten behördlichen Maßnahme ginge der mit der Anhörung verfolgte Zweck, sich zu den für die Entscheidung erheblichen Tatsachen zu äußern, ins Leere.

54

Vgl. BVerwG, Urteil vom 22. März 2012 – 3 C 16/11 –, BeckRS 2012, 2823 Rn. 12.

55

Diesen Anforderungen ist die Beklagte nicht nachgekommen, da sie der Klägerin zu keinem Zeitpunkt den Erlass eines bestimmten Verwaltungsakts in Aussicht stellte. Zwar enthielten die an die Klägerin gerichteten Schreiben teilweise – wie etwa das Schreiben vom 17. September 2020 – Bezugnahmen auf die Bestimmungen der DSGVO („Aufsicht nach Art. 58 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO)). Eine dahingehende Konkretisierung, welcher Verwaltungsakt nach Art und Inhalt beabsichtigt war, nahm die Beklagte jedoch nicht vor, so dass die Klägerin nicht erkennen konnte, wozu sie sich äußern sollte und mit welcher Entscheidung sie zu rechnen hatte. Einer entsprechenden Konkretisierung hätte es aber bedurft, da Art. 58 Abs. 2 DSGVO unterschiedliche Instrumentarien zur Sanktionierung eines Datenschutzverstoßes vorsieht.

56

Die Beklagte durfte von der Anhörung auch nicht nach § 28 Abs. 2 VwVfG NRW absehen, weil sie nach den Umständen des Einzelfalles nicht geboten erschien. Ungeachtet des Vorliegens der Voraussetzungen der Vorschrift setzt diese jedenfalls voraus, dass die zuständige Behörde auf der Tatbestandsseite – gerichtlich voll überprüfbar – feststellt, ob die Anhörung aufgrund der Umstände des Einzelfalles geboten ist, und sodann in einem zweiten Schritt Ermessen ausübt, wobei aufgrund des Ausnahmecharakters der Vorschrift eine besondere Beachtung des Verhältnismäßigkeitsgrundsatzes geboten ist.

57

Vgl. BVerwG, Urteil vom 22. Februar 2022 – 4 A 7/20 –, BeckRS 2022, 12385 Rn 21.; Schneider, in: Schoch/Schneider, VwVfG, 4. EL 2023, § 28 Rn. 53.

58

Dies ist hier nicht geschehen, da die Beklagte in ihrem Bescheid weder das Erfordernis einer Anhörung nach § 28 Abs. 1 VwVfG NRW noch das Vorliegen eines Ausnahmetatbestandes nach Absatz 2 zum Gegenstand ihrer Ausführungen machte.

59

Der Anhörungsmangel ist auch nicht gemäß § 45 Abs. 1 Nr. 3 VwVfG NRW geheilt worden.

60

Nach dieser Vorschrift ist eine Verletzung von Verfahrens- oder Formvorschriften, die – wie hier – den Verwaltungsakt nicht nach § 44 nichtig macht, unbeachtlich, wenn die erforderliche Anhörung eines Beteiligten nachgeholt wird. Nach Absatz 2 der Vorschrift können Handlungen nach Absatz 1 bis zum Abschluss der letzten Tatsacheninstanz eines verwaltungsgerichtlichen Verfahrens nachgeholt werden.

61

Eine Heilung nach dieser Vorschrift setzt voraus, dass die Anhörung nachträglich ordnungsgemäß durchgeführt und ihre Funktion für den Entscheidungsprozess der Behörde uneingeschränkt erreicht wird. Dies schließt ein, dass die Behörde ein etwaiges Vorbringen des Betroffenen bei ihrer Entscheidung in Erwägung zieht.

62

Vgl. BVerwG, Urteile vom 22. Februar 2022 – 4 A 7/20 –, BeckRS 2022, 12385 Rn. 25 und vom 22. März 2012 – 3 C 16/11 –, BeckRS 2012, 2823 Rn. 18, jeweils m.w.N.

63

Nach Maßgabe dessen ist der Anhörungsmangel nicht geheilt worden. Die Beklagte hat die erforderliche Anhörung insbesondere nicht dadurch geheilt, dass sie der Klägerin in der mündlichen Verhandlung vor dem Verwaltungsgericht ein Anhörungsschreiben aushändigte. Die der Klägerin darin eingeräumte Gelegenheit zur Stellungnahme erfolgte unter Fristsetzung bis zum 00. Januar 0000, sodass sie von ihrem Anhörungsrecht in der mündlichen Verhandlung keinen Gebrauch machte. Infolgedessen konnte sich die Beklagte mit eventuellem neuen Vorbringen der Klägerin nicht, wie von § 45 Abs. 1 Nr. 3 VwVfG NRW gefordert, auseinandersetzen.

64

Die unterbliebene Anhörung ist jedoch gemäß § 46 VwVfG NRW unbeachtlich, so dass die Klägerin die Aufhebung des Verwaltungsaktes nicht beanspruchen kann.

65

Nach § 46 VwVfG NRW kann die Aufhebung eines Verwaltungsaktes, der nicht nach § 44 nichtig ist, nicht allein deshalb beansprucht werden, weil er unter Verletzung von Vorschriften über das Verfahren, die Form oder die örtliche Zuständigkeit zustande gekommen ist, wenn offensichtlich ist, dass die Verletzung die Entscheidung in der Sache nicht beeinflusst hat.

66

Hinsichtlich der Anwendbarkeit der Vorschrift bestehen hier keine Bedenken. Insbesondere lässt sie eine Unbeachtlichkeit des Fehlers unabhängig davon zu, ob es sich um eine gebundene Entscheidung handelt oder der Behörde bei der Entscheidung ein Ermessens- oder Beurteilungsspielraum zusteht.

67

Vgl. Schemmer, in: BeckOK, VwVfG, Stand: 1. Oktober 2024, § 46 Rn. 33; unter Hinweis auf die Entstehungsgeschichte Schneider, in: Schoch/Schneider, VwVfG, 4. EL 2023, § 46 Rn. 2.

68

Auch Unionsrecht steht der Heranziehung von § 46 VwVfG NRW hier nicht entgegen.

69

Das Unionsverwaltungsrecht enthält – von vereinzelten Ausnahmen abgesehen – keine expliziten Regeln über die Folgen von Verfahrensfehlern, die deutsche oder andere nationale Behörden beim indirekten bzw. mitgliedstaatlichen Vollzug von Unionsrecht verursachen. Nach den allgemeinen Grundsätzen des Unionsverwaltungsrechts wird diese Lücke durch nationale Regeln gefüllt, zu denen auch § 46 VwVfG NRW zählt.

70

Vgl. Schneider, in: Schoch/Schneider/Schneider, VwVfG, 4. EL 2023, § 45 Rn. 31.

71

Solange die deutschen Behörden bei der Anwendung der Fehlerfolgenregelungen die Grundsätze der Äquivalenz und Effektivität beachten, können Verfahrens- und Formfehler daher grundsätzlich auch bei dem indirekten Vollzug von Unionsrecht durch die Mitgliedstaaten unbeachtlich sein. In diesen Grenzen kommt das Fehlerfolgenregime des Mitgliedstaates zur Anwendung.

72

Vgl. BVerwG, Urteil vom 29. Oktober 2008 – 6 C 38/07 –, BeckRS 2009, 30118 Rn. 41; Schemmer, in: BeckOK, VwVfG, Stand: 1. Oktober 2024, § 46 Rn. 17.

73

Die hier einschlägigen datenschutzrechtlichen Bestimmungen enthalten keine abweichende Wertung. Zwar erwähnt die Datenschutz-Grundverordnung in Erwägungsgrund 129 Satz 5 ein (uneingeschränktes) Anhörungsrecht des von einer Aufsichtsmaßnahme Betroffenen. Dies spricht jedoch nicht gegen die Anwendbarkeit eines mitgliedstaatlichen Fehlerfolgenregimes. Zum einen handelt es sich bei den Erwägungsgründen nicht um eigenständige Rechtsnormen mit Regelungscharakter, sondern um allgemeine Zielformulierungen.

74

Vgl. VG Ansbach, Urteil vom 12. Juni 2024 – AN 14 K 20.941 –, BeckRS 2024, 20312 Rn. 35.

75

Zum anderen verweist die Datenschutz-Grundverordnung in Art. 58 Abs. 4 (auch) hinsichtlich der Ausgestaltung von Verfahrensrechten auf die Regelungen der Mitgliedstaaten, die ihrerseits im Lichte unionsrechtlicher Vorgaben auszulegen und anzuwenden sind.

76

Die Voraussetzungen von § 46 VwVfG NRW liegen vor. Auf Grundlage der verfügbaren Unterlagen und des Vorbringens der Beteiligten in der mündlichen Verhandlung steht zur Überzeugung der Kammer fest, dass die unterbliebene Anhörung der Klägerin die Entscheidung der Beklagten in der Sache offensichtlich nicht beeinflusst hat, der angegriffene Bescheid vom 00. März 0000 ohne diesen Verfahrensmangel also nicht anders ausgefallen wäre.

77

Der Begriff „offensichtlich“ im Sinne von § 46 VwVfG NRW ist objektiv zu verstehen. Offensichtlichkeit liegt vor, wenn die fehlende Kausalität für einen unvoreingenommenen, mit den Umständen vertrauten und verständigen Beobachter zum Zeitpunkt der Entscheidung ohne weiteres und ohne jeden vernünftigen Zweifel erkennbar ist,

78

vgl. BVerwG, Beschluss vom 20. Dezember 2013 – 7 B 18.12 –, BeckRS 2014, 45729 Rn. 24,

79

wenn also von vornherein und nach jeder Betrachtungsweise feststeht, dass die Sachentscheidung auch bei ordnungsgemäßem Verfahren nicht anders ausgefallen wäre, die Behörde ohne den Verfahrensfehler also genauso entschieden hätte. Die nur abstrakte Möglichkeit einer anderen Entscheidung genügt danach nicht.

80

Vgl. BVerfG, Beschluss vom 24. Oktober 2017 – 1 BvR 1026/13 – BeckRS 2017, 134894 Rn. 46; BVerwG, Urteil vom 21. Januar 2016 – 4 A 5.14 –, BeckRS 2016, 45459 Rn. 39.

81

Eröffnet das materielle Recht im konkreten Einzelfall Ermessen oder hat die Behörde einen Beurteilungsspielraum, so ist indes im Regelfall nicht auszuschließen, dass sich die Verletzung der jeweiligen Verfahrensvorschrift auf die Entscheidung in der Sache ausgewirkt hat. Deswegen sind in diesen Fällen Fehler grundsätzlich relevant.

82

Vgl. Schneider, in: Schoch/Schneider/Schneider, VwVfG, 4. EL 2023, § 46 Rn. 51 m.w.N.

83

Ausnahmen von diesem Grundsatz werden anerkannt, wenn der Fehler nachweislich aus tatsächlichen Gründen auf die Entscheidung ohne Einfluss geblieben ist.

84

Vgl. Schemmer, in: BeckOK, VwVfG, Stand: 1. Oktober 2024, § 46 Rn. 37 ff.

85

Insbesondere Anhörungsfehler sollen – auch bei einem Entscheidungsspielraum für die Behörde – unbeachtlich sein können, wenn zur Überzeugung des Gerichts feststeht, dass eine rechtzeitige Anhörung die Entscheidung in der Sache nicht beeinflusst hätte.

86

Vgl. Schemmer, in: BeckOK, VwVfG, Stand: 1. Oktober 2024, § 46 Rn. 38.1.

87

Hiernach ist davon auszugehen, dass die Beklagte auch bei ordnungsgemäß erfolgter Anhörung der Klägerin eine Verwarnung gemäß Art. 58 Abs. 2 b DSGVO ausgesprochen hätte.

88

Zwar räumt Art. 58 Abs. 2 b DSGVO der zuständigen Aufsichtsbehörde auf der Rechtsfolgenseite Ermessen ein („die es ihr gestatten“). Stellt diese am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung fest, ist sie jedoch verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen.

89

Vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 57.

90

Im Falle eines festgestellten Datenschutzverstoßes verdichtet sich das Ermessen der Aufsichtsbehörde somit dahingehend, dass nur ein Einschreiten gegen den Betroffenen ermessensfehlerfrei ist.

91

Vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 144; VG Mainz, Urteil vom 24. September 2020 – 1 K 584/19.MZ –, BeckRS 2020, 28535 Rn. 50.

92

Die Beklagte wäre auch bei ordnungsgemäßer Anhörung der Klägerin zu einem aufsichtsbehördlichen Einschreiten verpflichtet gewesen. Aufgrund des umfangreichen Schriftwechsels der Beteiligten stand ein Verstoß der Klägerin gegen datenschutzrechtliche Bestimmungen aus Sicht der Beklagten schon vor Erlass des angefochtenen Bescheides fest. Bereits in ihrer Stellungnahme vom 15. Oktober 2020 räumte die Klägerin ein, im Zeitraum von Oktober 2017 bis Januar 2018 falsche Saldenstände an die SCHUFA übermittelt zu haben. Darüber hinaus legte sie schriftlich am 5. Mai 2021 dar, in der Zeit von Februar bis Oktober 2018 trotz zwischenzeitlich erfolgter Erledigung der Forderung eine entsprechende Meldung an die SCHUFA unterlassen zu haben. Bei dieser Sachlage musste die Beklagte in geeigneter Weise reagieren.

93

Stand der Beklagten im Hinblick auf die Sanktionsmaßnahmen nach Art. 58 Abs. 2 DSGVO gleichwohl ein Auswahlermessen zur Verfügung, bei dessen Ausübung sie insbesondere den Grundsatz der Verhältnismäßigkeit zu beachten hatte,

94

vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 147; VG Ansbach, Urteil vom 12. Juni 2024 – AN 14 K 20.941 –, BeckRS 2024, 20312 Rn. 49 unter Hinweis auf Erwägungsgrund Nr. 148 der DSGVO,

95

führt auch dieses hier nicht dazu, dass ihre Entscheidung bei erfolgter Anhörung der Klägerin anders ausgefallen wäre. Selbst wenn – wofür angesichts der umfangreichen Sachverhaltsermittlung der Beklagten nichts ersichtlich ist – eine konkrete Möglichkeit bestünde, dass sie hinsichtlich der zu ergreifenden Maßnahme zu einer anderen Entscheidung gelangt wäre, könnte sich die Klägerin hierauf nicht berufen. Aufgrund des von § 113 Abs. 1 Satz 1 VwGO vorausgesetzten subjektiven Rechtswidrigkeitszusammenhangs zwischen dem verletzten Verfahrensrecht und einer materiellen Rechtsposition muss die hypothetische Sachentscheidung in Bezug auf diese Rechtsposition günstiger für den Betroffenen ausfallen, sofern der Rechtswidrigkeitszusammenhang nicht durch einen überindividuellen (absoluten) Aufhebungsanspruch modifiziert wird.

96

Vgl. Schneider, in: Schoch/Schneider/Schneider, VwVfG, 4. EL 2023, § 46 Rn. 52.

97

Da die Beklagte mit der Verwarnung nach Art. 58 Abs. 2 b DSGVO hier aber das mildeste der ihr zur Verfügung stehenden Mittel wählte, ist eine Rechtsverletzung der Klägerin insoweit ausgeschlossen.

98

Der Bescheid genügt auch dem Bestimmtheitsgebot gemäß § 37 Abs. 1 VwVfG NRW.

99

Dies setzt voraus, dass der Inhalt der von der Behörde getroffenen Regelung für die Beteiligten, insbesondere für den oder die Adressaten des Verwaltungsakts, so vollständig, klar und unzweideutig erkennbar ist, dass sie ihr Verhalten danach richten können.

100

Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Aufl. 2024, § 37 Rn. 5 m.w.N.

101

Die Erkennbarkeit des Inhalts der Regelung ist aufgrund einer Auslegung des Verwaltungsakts entsprechend §§ 133, 157 BGB ausgehend vom Wortlaut unter Berücksichtigung der weiteren Umstände des Einzelfalles und nach Treu und Glauben zu ermitteln. Dabei ist nicht erforderlich, dass sich der Inhalt eines Verwaltungsakts allein aus dem verfügenden Teil präzise ergibt; vielmehr sind die den Beteiligten bekannten oder ohne weiteres erkennbaren Umstände sowie vor allem die dem Verwaltungsakt beigefügte Begründung zur Auslegung des Regelungsinhalts heranzuziehen.

102

Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Aufl. 2024, § 37 Rn. 5.

103

Zulässig sind auch Bezugnahmen im Verwaltungsakt auf gegenüber den Beteiligten früher ergangene Verwaltungsakte, ihnen bekannte und ihnen vorliegende oder jederzeit zugängliche Unterlagen, Pläne, technische Regelwerke usw.

104

Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Aufl. 2024, § 37 Rn. 5.

105

Nach Maßgabe dessen lässt sich das beanstandete Verhalten auch ohne weitere Konkretisierung der gerügten Datenschutzverstöße dem Bescheid der Beklagten eindeutig entnehmen. Aufgrund der Bezugnahme auf die Stellungnahmen der Klägerin im Verwaltungsverfahren war aufgrund einer Gesamtschau aller Umstände für die Klägerin hinreichend deutlich erkennbar, dass sich der behauptete Datenschutzverstoß auf zwei Sachverhalte erstrecken sollte, nämlich auf die (unzutreffenden) Meldungen der Saldenstände an die SCHUFA im Zeitraum Oktober 2017 bis Januar 2018 sowie auf die unterlassene Erledigtmeldung der Restforderung im Zeitraum Februar bis Oktober 2018. Die zugrundliegenden Vorgänge hatte die Klägerin im Verwaltungsverfahren selbst konkretisiert, nämlich mit Schreiben vom 5. Mai 2021 (betreffend den Zeitraum Februar bis Oktober 2018) und Schreiben vom 23. Juni 2021 (betreffend den Zeitraum Oktober 2017 bis Januar 2018). Weitergehende Anforderungen sind nicht zuletzt angesichts dessen, dass anhand der ausgesprochenen Verwarnung lediglich ein Verstoß gegen eine datenschutzrechtliche Vorschrift festgestellt wird, ohne dass dem Adressaten – hier der Klägerin – ein ggf. näher zu bestimmendes Tun, Dulden oder Unterlassen aufgegeben wird, insoweit nicht zu stellen.

106

Vgl. VG Hannover, Urteil vom 27. November 2019 – 10 A 820/19 –, BeckRS 2019, 31874 Rn. 24.

107

Die angegriffene Ordnungsverfügung ist in formeller Hinsicht auch hinreichend begründet. Entsprechend § 39 Abs. 1 VwVfG NRW hat die Beklagte in ihrem Bescheid die wesentlichen tatsächlichen und rechtlichen Gründe mitgeteilt, die sie zu ihrer Entscheidung bewogen haben. Dazu zählen insbesondere auch ihre Erwägungen zur Verhältnismäßigkeit der ausgesprochenen Maßnahme. Ob und inwieweit die angegebenen Gründe die Entscheidung in rechtlicher Hinsicht tragen, ist eine Frage der materiellen Rechtmäßigkeit des angegriffenen Verwaltungsakts.

108

Der angefochtene Bescheid erweist sich auch in materieller Hinsicht als rechtmäßig.

109

Die Voraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO liegen vor. Nach dieser Vorschrift verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

110

Soweit die Vorschrift hinsichtlich der Frage des Vorliegens eines datenschutzrechtlich relevanten Verstoßes auf die materiell-rechtlichen Vorschriften der DSGVO verweist, begegnet dies im vorliegenden Fall keinen Bedenken.

111

Zwar dürften weder die Datenschutz-Grundverordnung – einschließlich der in Art. 58 Abs. 2 DSGVO normierten aufsichtsbehördlichen Befugnisse – noch die auf nationaler Ebene neu gefassten datenschutzrechtlichen Bestimmungen auf Sachverhalte anzuwenden sein, die vor dem 25. Mai 2018 abgeschlossen waren. Insoweit verbietet sich im Hinblick auf das in Art. 20 Abs. 3 GG verankerte Rechtsstaatsprinzip eine rückwirkende Anwendung dieser Bestimmungen.

112

Vgl. hierzu BVerfG, Beschluss vom 10. Oktober 2012 – 1 BvL 6/07 –, BeckRS 2012, 59344 Rn. 59.

113

Eine solche (echte) Rückwirkung der neuen Datenschutzgesetze hätte ausdrücklicher Geltungsanordnung des Gesetzgebers bedurft. Indes enthalten weder die DSGVO noch das DSG NRW Übergangsregelungen, die auch abgeschlossene Altfälle einer nachträglichen Bewertung durch die Aufsichtsbehörde unterwerfen.

114

Vgl. VG Düsseldorf, Urteil vom 11. Oktober 2019 – 29 K 7031/19 –; BVerwG, Urteil vom 26. März 1985 – 9 C 47/84 –, juris Rn. 14.

115

Um einen solchen Fall handelt es sich hier aber nicht, da das von der Beklagten gerügte Verhalten der Klägerin zum Zeitpunkt des Inkrafttretens der Datenschutz-Grundverordnung am 25. Mai 2018 noch nicht abgeschlossen war.

116

Zwischen den Beteiligten ist unstreitig, dass die Klägerin auch nach Erledigung der Forderung Saldenstände aus dem Vertragsverhältnis ihres Kunden Q. an die SCHUFA übermittelte und zwar unter anderem am 10. Juni 2018 (358 Euro), 16. Juli 2018 (359 Euro), 12. August 2018 (359 Euro), 16. September 2018 (359 Euro) und am 14. Oktober 2018 (360 Euro). Diese Meldungen erfolgten nach Inkrafttreten der Datenschutz-Grundverordnung am 25. Mai 2018.

117

Die der Klägerin obliegende Pflicht zur Erledigtmeldung stellt sich, anders als die Klägerin meint, nicht als einheitlicher Sachverhalt dar, der, da er zum Zeitpunkt der tatsächlichen Erledigung der Forderung am 20. Februar 2018 und damit vor Inkrafttreten der Datenschutz-Grundverordnung begonnen hat, insgesamt dem Anwendungsbereich der Verordnung entzogen wäre. Nach Art. 4 Nr. 2 DSGVO ist eine Verarbeitung im Sinne der Verordnung jeder einzelne (mit oder ohne Hilfe automatisierter Verfahren) ausgeführte Vorgang oder jede solche Vorgangsreihe, so dass insoweit auf jede einzelne Datenübertragung an die SCHUFA abzustellen ist. Dem entspricht, dass die jeweilige Meldung ihrerseits zu einer neuen Eintragung bei der SCHUFA führt, die weitere Rechtsfolgen nach sich zieht (unter anderem hinsichtlich der Dauer der Datenspeicherung). Im Übrigen führte die Auffassung der Klägerin zu einem mit den Bestimmungen der Datenschutz-Grundverordnung nicht zu vereinbarenden Wertungswiderspruch, da die (weiterhin) hinausgezögerte Erledigtmeldung durch das kreditgebende Institut sanktionslos bliebe. Anders als die Klägerin meint, ist auch Erwägungsgrund 171 Satz 2 DSGVO nichts Anderes zu entnehmen. Soweit danach Verarbeitungen, die zum Zeitpunkt der Anwendung der DSGVO bereits begonnen haben, innerhalb von zwei Jahren nach deren Inkrafttreten mit ihr in Einklang gebracht werden sollten, kann daraus für den vorliegenden Fall nichts hergeleitet werden, da dem genannten Erwägungsgrund gerade keine Aussage darüber zu entnehmen ist, ob die zur Prüfung gestellte Datenverarbeitung in der Vergangenheit begonnen hat oder nicht.

118

Können damit jedenfalls die Meldungen an die SCHUFA vom 10. Juni 2018, 16. Juli 2018, 12. August 2018, 16. September 2018 und 14. Oktober 2018 an den Vorschriften der Datenschutz-Grundverordnung gemessen werden, liegen die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung insoweit vor.

119

Die Meldung gestörter Forderungen an die SCHUFA stellt einen Verarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO in Form einer Übermittlung von Daten auf elektronischem Wege dar. Diese Verarbeitung betrifft personenbezogene Daten nach Art. 4 Nr. 1 DSGVO, nämlich solche, die sich auf eine identifizierte natürliche Person, den Darlehensschuldner Q., beziehen.

120

Die Klägerin hat die personenbezogenen Daten als Verantwortliche im Sinne von Art. 58 Abs. 2 b DSGVO verarbeitet. Gemäß Art. 4 Nr. 7 Halbsatz 1 DSGVO ist Verantwortlicher unter anderem jede juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dies ist hier in Bezug auf die Klägerin der Fall. Als Forderungsgläubigerin – eine Abtretung an das Inkassounternehmen ist unstreitig nicht erfolgt – übermittelte sie monatlich Informationen zu den Saldenständen ihres Schuldners an die SCHUFA. Dabei handelte sie – was zwischen den Beteiligten unstreitig ist – hinsichtlich der Weitergabe der Daten in eigener Verantwortlichkeit und Zuständigkeit. Dies ergibt sich auch daraus, dass das zur Forderungsbeitreibung eingesetzte Inkassounternehmen, das in der Regel aufgrund einer Beauftragung nach dem Rechtsdienstleistungsgesetz tätig wird, nicht bzw. nicht ohne gesonderte Erlaubnis zu einer eigenständigen Weitergabe der entsprechenden Daten befugt ist.

121

Vgl. VG Wiesbaden, Urteil vom 27. September 2021 – 6 K 549/21 –, BeckRS 2021, 35118 Rn. 42 f.

122

Ob der Klägerin ein etwaiges Fehlverhalten des Inkassounternehmens im Rahmen der Forderungsbeitreibung zuzurechnen ist, ob diese mithin selbst als  Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO oder im Rahmen einer Auftragsverarbeitung im Sinne von Art. 4 Nr. 8, 28 DSGVO tätig wurde, kann daher offenbleiben.

123

Die Klägerin hat bei der Verarbeitung der personenbezogenen Daten ihres Schuldners gegen Art. 5 Abs. 1 d DSGVO verstoßen.

124

Nach dieser Vorschrift begeht einen Datenschutzverstoß, wer personenbezogene Daten nicht in einer Weise verarbeitet, die eine sachliche und aktuelle Richtigkeit der personenbezogenen Daten gewährleistet. Es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.

125

Art. 5 Abs. 1 Buchstabe d DSGVO betrifft die Datenqualität und verpflichtet den Verantwortlichen, die Richtigkeit der Daten aktiv zu prüfen.

126

Vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Rn. 136 ff.

127

Er ist gehalten, unabhängig von einem darauf gerichteten Verlangen der betroffenen Person alle vertretbaren Schritte zu unternehmen, damit unrichtige Daten unverzüglich gelöscht oder berichtigt werden.

128

Vgl. Heberlein, in: Ehmann/Selmayr, BeckOK Datenschutz-Grundverordnung, 3. Aufl. 2024, Art. 5 Rn. 32.

129

Hierzu hat der Verantwortliche technische und organisatorische Maßnahmen zu treffen, mit denen in geeigneter Weise sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird.

130

Vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Auflage 2025, Rn. 143.

131

Wenn das falsche Datum zu einer unzutreffenden Rechtsfolge führt oder in anderer Weise für die betroffene Person nachteilig sein kann, dann ist die Aktualisierung der Daten erforderlich.

132

Vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Auflage 2025, Rn. 141 m.w.N.

133

Dies ergibt sich auch aus Erwägungsgrund 39 der DGSVGO. Danach sollten alle vertretbaren Schritte unternommen werden, damit unrichtige personenbezogene Daten gelöscht oder berichtigt werden.

134

Dem ist die Beklagte hier nicht nachgekommen. Zur Überzeugung des Gerichts steht fest, dass die Klägerin am 10. Juni 2018, 16. Juli 2018, 12. August 2018, 16. September 2018 und 14. Oktober 2018 objektiv falsche Saldenstände an die SCHUFA meldete und im Hinblick auf diese Datenschutzverstöße nicht alle angemessenen Maßnahmen getroffen hat, um die fehlerhaften personenbezogenen Daten unverzüglich zu berichtigen bzw. zu löschen.

135

Die in Rede stehenden Meldungen an die SCHUFA waren objektiv unrichtig. Durch die Zahlungseingänge des Schuldners bzw. den Erlass der Restforderung durch die Klägerin waren die Darlehensforderung sowie sämtliche Zinsansprüche spätestens am 20. Februar 2018 beglichen. Gleichwohl übermittelte die Klägerin fortlaufend bis zum 14. Oktober 2018 Saldenstände zu Lasten des Schuldners an die SCHUFA. Diese Meldungen waren objektiv geeignet, ungünstige Rechtsfolgen für den Schuldner zu verursachen. Dies ergibt sich bereits mit Blick auf eine mögliche Dauer der Datenspeicherung. Nach den Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25. Mai 2018 in der Fassung vom 1. Januar 2020 („CoC Prüf- und Löschfristen der Wirtschaftsauskunfteien“) bleiben Daten über fällige und unbestrittene Forderungen in den Datenbanken der Wirtschaftsauskunfteien gespeichert, solange deren Ausgleich nicht bekanntgegeben worden ist. Eine eigene Prüfung durch die Wirtschaftsauskunfteien erfolgt erst nach jeweils drei Jahren ab Ereigniseintritt. Während dieser Zeit können sich, da anhand der vorhandenen Eintragungen der so genannte Scorewert berechnet wird, nachteilhafte Rechtsfolgen für den betroffenen Schuldner ergeben, weil sich Banken, Versicherungen, Telefonunternehmen und weitere Wirtschaftsunternehmen hinsichtlich der Beurteilung von zukünftigen Vertragspartnern häufig auf eine entsprechende Auskunft verlassen.

136

Vgl. hierzu etwa LG Berlin Urteil vom 27. April 2011 – 4 O 97/11 –, BeckRS 2011, 20005.

137

Daran ändert auch die rückwirkende Löschung der SCHUFA-Einträge nichts.

138

Die Klägerin hat entgegen Art. 5 Abs. 1 d DSGVO nicht alle angemessenen Maßnahmen getroffen, um die fehlerhaften personenbezogenen Daten des Schuldners unverzüglich zu berichtigen bzw. zu löschen. Hierzu hätte sie aufgrund der Umstände des Einzelfalles eine besondere Veranlassung gehabt, da es bereits vor der in Rede stehenden unterbliebenen Erledigungsmeldung zu Fehlern bei der Verarbeitung von personenbezogenen Daten des Herrn Q. gekommen war und die Klägerin Kenntnis von diesen Unregelmäßigkeiten hatte. Die Klägerin wusste spätestens am 20. Februar 2018 , dass sämtliche Meldungen an die SCHUFA zu Saldenständen des Schuldners im Zeitraum vom 15. Oktober 2017 bis Januar 2018 inkorrekt waren. Denn mit Schreiben gleichen Datums meldete sie dem zuständigen Inkassounternehmen den Ausgleich der Forderung, nachdem sie zuvor – aufgrund einer Entscheidung ihres Vorstandes – die noch bestehende Restforderung in Höhe von 357,69 Euro erlassen hatte. Bei einer derartigen Sachlage hätte die Klägerin – ungeachtet der Frage, ob sie grundsätzlich über ein funktionsfähiges internes Kontrollsystem verfügte – für eine umgehende Korrektur der Daten Sorge tragen müssen. Dies gilt insbesondere deshalb, weil sie die fehlerhaften Meldungen an die SCHUFA im Zeitraum vom 15. Oktober 2017 bis Januar 2018 durch die unterbliebene Verbuchung der Bareinzahlungen im Kernbankensystem selbst zu verantworten hatte. Selbst wenn es, wie der Prozessbevollmächtigte der Klägerin in der mündlichen Verhandlung ausgeführt hat, vor einer entsprechenden Erledigtmeldung an die SCHUFA aus technischen Gründen einer vorherigen Beteiligung des Inkassounternehmens bedurfte, hätte spätestens nach Eingang der wöchentlichen Erledigungsliste bei der Klägerin eine zusätzliche Kontrolle der Daten durch diese erfolgen müssen. Gleichwohl nahm die Klägerin zu keinem Zeitpunkt eine gesonderte Überprüfung der Erledigtmeldungen vor, obwohl das zu diesem Zeitpunkt bestehende Kontrollsystem eine Überprüfung der Daten nur stichprobenartig und auf monatlicher Basis vornahm. Dass der Klägerin eine manuelle Kontrolle der Daten mit den ihr zur Verfügung stehenden technisch-organisatorischen Mitteln nicht möglich gewesen ist, hat sie weder behauptet noch ist dies aufgrund anderer Umstände erkennbar.

139

Stellen die Falschmeldungen an die SCHUFA vom 10. Juni 2018, 16. Juli 2018, 12. August 2018, 16. September 2018 und 14. Oktober 2018 jeweils Verstöße gegen Art. 5 Abs. 1 d DSGVO dar, kann offenbleiben, ob die Beklagte (auch) hinsichtlich der fehlerhaften Meldungen im Zeitraum von 15. Oktober 2017 bis 14. Januar 2018 eine Verwarnung – gegebenenfalls auf Grundlage von § 38 Abs. 5 BDSG a.F. – hätte aussprechen können.

140

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen durchgreifenden rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Entgegen der Auffassung der Klägerin ist insbesondere ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,

141

vgl. OVG NRW, Urteil vom 15. Juni 2022 – 16 A 857/21 –, juris Rn. 147,

142

nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrumentarium im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Der mit der Anordnung verfolgte Zweck steht nicht außer Verhältnis zur Schwere des Eingriffs. Dabei ist insbesondere zu berücksichtigen, dass die Klägerin im Rahmen ihrer Datenverarbeitung mehrfach gegen Art. 5 Abs. 1 d DSGVO verstoßen hat und dieser Verstoß besonders sensible Daten des betroffenen Vertragskunden betraf. Demgegenüber stellt sich die Verwarnung – anders als etwa die Verhängung eines Bußgeldes in Art. 58 Abs. 2 i DSGVO – als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind. Dass die Beklagte zur Begründung ihrer Entscheidung nunmehr in erster Linie auf die fehlende Erledigtmeldung im Zeitraum vom 11. März 2018 bis zum 14. Oktober 2018 abstellt, ist angesichts dessen, dass der damit gerügte Datenschutzverstoß bereits Gegenstand des angefochtenen Bescheides (Seite 2) war, auch nach Maßgabe von § 114 Satz 2 VwGO nicht zu beanstanden.

143

Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO.

144

Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, 711, 709 Satz 2 ZPO.

145

Rechtsmittelbelehrung

146

Innerhalb eines Monats nach Zustellung dieses Urteils kann bei dem Verwaltungsgericht Düsseldorf schriftlich beantragt werden, dass das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster die Berufung zulässt. Der Antrag muss das angefochtene Urteil bezeichnen.

147

Innerhalb von zwei Monaten nach Zustellung des Urteils sind die Gründe darzulegen, aus denen die Berufung zuzulassen ist. Die Begründung ist, soweit sie nicht bereits mit dem Antrag vorgelegt worden ist, bei dem Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster schriftlich einzureichen.

148

Der Antrag ist zu stellen und zu begründen durch einen Rechtsanwalt oder einen Rechtslehrer an einer staatlichen oder staatlich anerkannten Hochschule eines Mitgliedstaates der Europäischen Union, eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum oder der Schweiz, der die Befähigung zum Richteramt besitzt, oder eine diesen gleichgestellte Person als Bevollmächtigten. Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung öffentlicher Aufgaben gebildeten Zusammenschlüsse können sich auch durch eigene Beschäftigte mit Befähigung zum Richteramt oder durch Beschäftigte mit Befähigung zum Richteramt anderer Behörden oder juristischer Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse vertreten lassen. Auf die besonderen Regelungen in § 67 Abs. 4 Sätze 7 und 8 VwGO wird hingewiesen.

149

Beschluss

150

Der Wert des Streitgegenstandes wird auf

151

5.000,- Euro

152

festgesetzt.

153

Gründe

154

Die Festsetzung des Streitwerts beruht auf § 52 Abs. 2 GKG.

155

Rechtsmittelbelehrung

156

Gegen diesen Beschluss kann innerhalb von sechs Monaten, nachdem die Entscheidung in der Hauptsache Rechtskraft erlangt oder das Verfahren sich anderweitig erledigt hat, bei dem Verwaltungsgericht Düsseldorf schriftlich oder zur Niederschrift des Urkundsbeamten der Geschäftsstelle Beschwerde eingelegt werden, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet, falls das Verwaltungsgericht ihr nicht abhilft. Ist der Streitwert später als einen Monat vor Ablauf der genannten Frist festgesetzt worden, kann die Beschwerde innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungsbeschlusses eingelegt werden. Die Beschwerde ist nur zulässig, wenn der Wert des Beschwerdegegenstandes zweihundert Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Gericht, das die Entscheidung erlassen hat, wegen der grundsätzlichen Bedeutung der zur Entscheidung stehenden Frage zulässt.