Verwaltungsgericht Düsseldorf, 29 K 3939/23

Tatbestand

Der Kläger begehrt von der Beklagten ein aufsichtsbehördliches Einschreiten aufgrund eines geltend gemachten Datenschutzverstoßes.

Im Jahr 2021 erwarben der Kläger und sein Vater eine Immobilie. Nach erteiltem Zuschlag teilte der Kläger dem Makler N. seine personenbezogenen Daten zwecks Übermittlung des Kaufvertragsentwurfs durch den beauftragten Notar Dr. U. mit. Mit E-Mail vom 18. Januar 2021 bat der Makler den Notar um Übersendung des Kaufvertragsentwurfs an die E-Mail-Adresse xxxxxxx00@xxxxx.com. Mit E-Mail vom 21. Januar 2021, 09:38 Uhr übersandte der Notar den Kaufvertragsentwurf an die Kaufvertragsparteien und den Makler. Die Mail leitete der Makler am selben Tag um 22:05 Uhr an den Kläger weiter. In der Kopfzeile der weitergeleiteten E-Mail des Notars wird als E-Mail-Adresse xxxxxx00@xxxxx.com genannt.

Am 23. April 2021 legte der Kläger bei der Beklagten Beschwerde ein und begründete diese damit, es sei ein Kaufvertragsentwurf, der seine personenbezogenen Daten enthalte, an eine falsche E-Mail-Adresse versandt worden. Er habe den Kaufvertragsentwurf des Notariats zu keinem Zeitpunkt erhalten. Auch weise die Kopfzeile der streitgegenständlichen E-Mail die falsche E-Mail-Adresse aus.

Mit mehreren Schreiben, u.a. vom 25. Juni 2021, 31. März 2022, 30. Mai 2022 und 14. März 2023 teilte der Notar Dr. U. unter Beifügung des Kontaktdatenblatts mit, dass in der von ihm verwendeten Notariatssoftware „ARNOtop“ die E-Mail-Adresse xxxxxxx00@xxxxx.com hinterlegt sei. Da aus dem System heraus gemailt werde, sei grundsätzlich davon auszugehen, dass die im System hinterlegte E-Mail-Adresse bei der Versendung der E-Mail vom 21. Januar 2021 genutzt worden sei. Ein angeblicher Mailversuch an die E-Mail-Adresse xxxxxx00@xxxxx.com habe zu keinem Zeitpunkt stattgefunden. Eine Fehlermeldung in Form einer Nichtzustellbarkeit sei nicht eingegangen. Als unmittelbare Reaktion auf die E-Mail habe es eine Terminabsage durch den vorgesehenen Käufer gegeben. Dies spreche dafür, dass die E-Mail auch zugegangen sei. Nach dem Versand der streitgegenständlichen E-Mail vom 21. Januar 2021 sei ein Serveraustausch erfolgt. Die E-Mail sei auf dem neuen Server nicht archiviert. Der Verkäufer habe jeder Weitergabe von Unterlagen oder Vorgängen ausdrücklich und mehrfach widersprochen. Aufgrund der ihm als Notar kraft Gesetzes obliegenden Verschwiegenheitspflicht sei es ihm daher verwehrt, die Korrespondenz mit dem Kläger, die den Verkaufssachverhalt betreffe, zu übermitteln.

Mit Bescheid vom 4. Mai 2023 teilte die Beklagte mit, dass sie die Beschwerde nicht weiterverfolge und den Vorgang als abgeschlossen ansehe. Das Notariat habe glaubhaft dargelegt, dass die streitgegenständliche E-Mail unmittelbar aus der Notariatssoftware an die Adresse xxxxxxx@xxxxx.com (sic!) gesendet worden sei. Die falsche E-Mail-Adresse xxxxxx@xxxxx.com (sic!) sei laut Auskunft des IT Administrators des Notariats lediglich im Briefkopf der E-Mail vom 21. Januar 2021 angegeben worden.

Mit Bescheid vom 3. Juli 2023 hob die Beklagte den Bescheid vom 4. Mai 2023 auf. Mit weiterem Bescheid vom 3. Juli 2023 teilte die Beklagte dem Kläger im Hinblick auf seine Beschwerde vom 23. April 2021 mit, dass nicht abschließend ermittelt werden könne, ob die streitgegenständliche E-Mail an die falsche E-Mail-Adresse (xxxxxx00@xxxxx.com) gesendet worden sei. Eine abschließende Klärung dieser Frage könne nur anhand der Metadaten der E-Mail erfolgen. Dies setze voraus, dass die E-Mail im Original und nicht lediglich als PDF-Dokument vorgelegt worden sei. Dem Makler, der die E-Mail als Empfänger erhalten habe, liege diese nicht mehr vor. Der Notar berufe sich hinsichtlich der Übermittlung der E-Mail auf seine Verschwiegenheitspflicht nach § 18 Bundesnotarordnung (BNotO). Eine Übermittlung der E-Mail wäre daher nur möglich, wenn alle Beteiligten zustimmten. Dies sei nicht der Fall. Aus diesem Grund könne das Vorliegen eines Datenschutzverstoßes nicht abschließend ermittelt werden, so dass der Kläger keinen Anspruch auf behördliches Einschreiten bzw. auf fehlerfreie Ermessensausübung hinsichtlich einer aufsichtsbehördlichen Maßnahme habe.

Der Kläger hat am 2. Juni 2023 Klage erhoben, zu deren Begründung er vorträgt: Der Kaufvertragsentwurf mit den persönlichen Daten von ihm und seinem Vater sei durch das Notariat an eine falsche und ihm unbekannte Adresse geschickt worden. Dies habe auch der Makler in seiner E-Mail vom 21. Januar 2021 bestätigt. Seine einzig korrekte E-Mail-Adresse laute xxxxxxx00@xxxxx.com. An diese sei der Kaufvertragsentwurf zu keinem Zeitpunkt übersandt worden. Die Annahme, der Kaufvertragsentwurf sei an die im System hinterlegte Adresse übermittelt worden, stelle eine bloße Vermutung dar. Eine fehlende Fehlermeldung bestätige, dass die E-Mail nicht nur an eine fremde Adresse versandt worden, sondern auch bei dieser eingegangen sei. Auf seine Berufsgeheimnispflicht könne sich der Notar nicht berufen, da der Beklagten die E-Mail-Adresse des Verkäufers bereits mehrfach offenbart worden sei. Auch handele es sich bei den schützenswerten personenbezogenen Daten des Verkäufers um dessen E-Mail-Adresse, wohingegen in seinem Fall personenbezogene Daten unter anderem in Form des Namens, der Wohnadresse und des Geburtsdatums an eine fremde Person versandt worden seien. Im Übrigen reiche ein Sendebericht aus, den der Notar einreichen könne ohne gegen seine Verschwiegenheitspflicht zu verstoßen.

Mit Schriftsatz vom 26. Juli 2023 änderte der Kläger seine Klage dahingehend, dass sich diese nunmehr gegen den Bescheid vom 3. Juli 2023 richte. In diese Klageänderung hat die Beklagte mit Schriftsatz vom 10. August 2023 eingewilligt.

Der Kläger beantragt schriftsätzlich sinngemäß,

die Beklagte unter Aufhebung ihres Bescheides vom 3. Juli 2023 zu verpflichten, über seine Beschwerde vom 23. April 2021 unter Beachtung der Rechtsauffassung des Gerichts neu zu entscheiden.

Die Beklagte beantragt schriftsätzlich,

die Klage abzuweisen.

Zur Begründung führt sie unter Bezugnahme auf die Gründe des angefochtenen Bescheides im Wesentlichen aus, ein Datenschutzverstoß könne mit den zur Verfügung stehenden Mitteln nicht festgestellt werden.

Die Beteiligten haben ihr Einverständnis mit einer Entscheidung ohne mündliche Verhandlung erklärt, die Beklagte mit Schriftsatz vom 6. Februar 2025 und der Kläger mit Schriftsatz vom 28. Februar 2025.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie den des beigezogenen Verwaltungsvorgangs Bezug genommen.

Entscheidungsgründe

Die Einzelrichterin ist für die Entscheidung zuständig, nachdem ihr der Rechtsstreit durch Beschluss der Kammer vom 17. Januar 2025 gemäß § 6 Abs. 1 Satz 1 Verwaltungsgerichtsordnung (VwGO) zur Entscheidung übertragen worden ist.

Das Gericht kann gemäß § 101 Abs. 2 VwGO ohne mündliche Verhandlung entscheiden, weil die Beteiligten hierzu ihr Einverständnis erklärt haben.

Die Klage, die sich nach Einwilligung der Beklagten in die von dem Kläger mit Schriftsatz vom 26. Juli 2023 vorgenommene Klageänderung gemäß § 91 Abs. 1 VwGO gegen das Schreiben der Beklagten vom 3. Juli 2023 richtet, hat keinen Erfolg.

Sie ist zwar zulässig, insbesondere als Verpflichtungsklage gemäß § 42 Abs. 1 Alt. 2 VwGO statthaft.

Die von dem Kläger nach sinngemäßer Auslegung (§ 88 VwGO) begehrte, andere Entscheidung über seine Beschwerde stellt – ebenso wie das Schreiben der Beklagten vom 3. Juli 2023 – einen Verwaltungsakt im Sinne von § 35 Satz 1 des Verwaltungsverfahrensgesetzes (VwVfG) dar. Insbesondere zielt es auf die Herbeiführung unmittelbarer Rechtswirkungen ab. Aus der Begründung ergibt sich, dass die Beklagte das Schreiben als Aufsichtsbehörde im Rahmen ihrer Befugnisse nach Art. 58 DSGVO erstellt hat. Dabei ist unschädlich, dass dieses weder als „Bescheid“ noch als „Verfügung“ oder in der ähnlicher Weise bezeichnet wird. Denn inhaltlich stellt es eine auf unmittelbare Rechtswirkung nach außen gerichtete Entscheidung der Beklagten über den weiteren Fortgang – nämlich die Beendigung – des Beschwerdeverfahrens dar. Dementsprechend ist es auch mit einer Rechtsbehelfsbelehrung versehen.

Vgl. zur Einordnung der abschließenden Beschwerdeentscheidung der Aufsichtsbehörde als Verwaltungsakt: VG Düsseldorf, Urteil vom 11. Oktober 2021 – 29 K 7031/19 –, nicht veröffentlicht; VG Düsseldorf, Beschluss vom 8. Januar 2021 – 29 K 7626/19 –, nicht veröffentlicht; VG Mainz, Urteil vom 16. Januar 2020 – 1 K 129/19.MZ –, juris Rn. 26 f. Vgl. auch zur Rechtsverbindlichkeit der Beschlüsse einer Aufsichtsbehörde: EuGH, Urteil vom 07.12.2023 – C-26/22 –, juris Rn. 50.

Der Kläger ist klagebefugt im Sinne von § 42 Abs. 2 VwGO, weil es nach seinem Vorbringen jedenfalls möglich ist, dass er durch die Einstellung des Beschwerdeverfahrens in eigenen subjektiv-öffentlichen Rechten nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO verletzt ist.

Vgl. VG Hamburg, Urteil vom 1. Juni 2021 – 17 K 2977/19 –, Rn. 41 ff.; VG Ansbach, Urteil vom 7. Dezember 2020 – An 14 K 18.02503 –, juris Rn. 25; OVG Rheinland-Pfalz, Urteil vom 26. Oktober 2020 – 10 A 10613/20 –, juris Rn. 29.

Die Klage ist aber unbegründet. Der Bescheid vom 3. Juli 2023 ist rechtmäßig und verletzt den Kläger nicht in seinen Rechten. Der Kläger hat gegenüber der Beklagten keinen Anspruch auf Neubescheidung seiner Beschwerde vom 23. April 2021 unter Beachtung der Rechtsauffassung des Gerichts (§ 113 Abs. 5 Satz 2 VwGO).

Rechtsgrundlage für die streitgegenständliche Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO.

Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen Vorschriften über den Datenschutz verstößt. Als Datenschutzaufsichtsbehörde muss sich die LDI NRW im Rahmen ihrer Zuständigkeit mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten (Art. 57 Abs. 1 Buchst. f DSGVO).

Bei dem Recht auf Beschwerde nach Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO handelt es sich um ein subjektiv-öffentliches Recht, aus dem sich ein gerichtlich überprüfbarer, zweistufiger Anspruch ergibt.

Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt. Die Aufsichtsbehörde ist nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, eine Beschwerde mit aller gebotenen Sorgfalt zu bearbeiten. Hierzu verleiht ihr Art. 58 Abs. 1 DSGVO weitreichende Untersuchungsbefugnisse.

Vgl. EuGH, Urteil vom 16. Juli 2020 – C-311/18 –, juris, Rn.109, 111.

Über den Einsatz der sich aus Art. 58 Abs. 1 DSGVO ergebenden Untersuchungsbefugnisse sowie den Umfang der Untersuchung entscheidet die Aufsichtsbehörde nach pflichtgemäßem Ermessen entsprechend der Sachlage im Einzelfall.

Vgl. BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 49. Edition, Stand 01.05.2024, DSGVO Art. 57 Rz 17.

Stellt die Aufsichtsbehörde sodann am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen, wobei alle Maßnahmen insbesondere im Hinblick auf die Gewährleistung der Einhaltung der Verordnung geeignet, erforderlich und verhältnismäßig sein sollten und die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt.

Vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 47 ff.

Hiervon ausgehend richtet sich die gerichtliche Prüfung der Beschwerdeentscheidung nach § 114 Abs. 1 VwGO.

Bei Ermessensentscheidungen hat das Gericht nur zu prüfen, ob die Verwaltung den ihr eingeräumten Ermessensspielraum ausgeschöpft hat, ob sie die nach dem Zweck der Ermessensermächtigung für die Entscheidung relevanten Gesichtspunkte bei ihrer Entscheidung berücksichtigt hat und ob sie die gesetzlichen Grenzen der Ermessensbetätigung überschritten hat. Das Gericht darf die getroffene Entscheidung nur anhand derjenigen Erwägungen überprüfen, die die Behörde tatsächlich angestellt hat, wozu auch in Einklang mit § 114 Satz 2 VwGO nachgeschobene Erwägungen zählen.

Vgl. BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.

Nach diesem Maßstab sind Ermessensfehler bei der Entscheidung der Beklagten, das Beschwerdeverfahren einzustellen, nicht erkennbar.

Die Beklagte hat ihr Ermessen hinsichtlich des Umfangs der Ermittlungen erkannt und ausgeübt. Insbesondere hat sie den relevanten Sachverhalt in angemessenem Umfang untersucht und die geeigneten und erforderlichen Aufklärungsmaßnahmen nach Art. 58 Abs. 1 Buchst. e DSGVO ergriffen. Zur Ermittlung des für den Datenschutzrechtsverstoß Verantwortlichen hat sie Auskunftsersuchen an das Notariat gerichtet und die Stellungnahmen inhaltlich ausgewertet.

Die auf der Grundlage dieser Untersuchung getroffene Annahme, das Vorliegen eines Datenschutzverstoßes lasse sich nicht abschließend ermitteln, ist im Ergebnis nicht zu beanstanden. Denn das Ergreifen weiterer Aufklärungsmaßnahmen war schon deswegen nicht angezeigt, weil die streitgegenständliche E-Mail nicht an eine falsche E-Mail-Adresse gesendet wurde. Dies steht nach den vom Notar veranlassten technischen Untersuchungen fest. Die EDV-Beratung des Notars konnte nach einer Auswertung des alten Servers keinen E-Mail-Verlauf mit einem Versand an die Adresse xxxxxx00@xxxxx.com ermitteln. Diese Erkenntnis korrespondiert mit den Angaben des Notars, wonach E-Mails direkt aus der Notariatssoftware ARNOtop heraus verschickt werden. In der vom Notar verwendeten Software ist im Kontaktdatenblatt des Klägers aber die richtige E-Mail-Adresse hinterlegt, sodass davon auszugehen ist, dass die E-Mail vom 21. Januar 2021 an die richtige Adresse übermittelt wurde. Eine Änderung des Kontaktdatenblattes ist nicht erfolgt. Dementsprechend kam die E-Mail weder als unzustellbar zurück noch erfolgte eine sonstige Reaktion des vermeintlichen Adressaten. Für den Versand an die richtige Adresse spricht zudem, dass es als unmittelbare Reaktion auf die E-Mail durch die vorgesehenen Käufer, der Kläger und sein Vater, im Notariat eine Terminabsage gegeben hat. Auch dies lässt darauf schließen, dass die E-Mail dem Kläger tatsächlich zugegangen ist.

Soweit in den Stellungnahmen des Notars teilweise andere E-Mail-Adressen genannt werden, handelt es sich ersichtlich um Verwechslungen sehr ähnlicher E-Mail-Adressen (xxxxxxx00@xxxxx.com, xxxxxx00@xxxxx.com, xxxxxx@xxxxx.com, xxxxxxx@xxxxx.com), die auch anderen Beteiligten einschließlich der Beklagten unterlaufen sind. Sie vermögen den objektiven technischen Befund der IT-Fachleute, wie er im Schreiben der Rechtsanwältin des Notars vom 14. März 2023 wiedergegeben wird (Bl. 196 der Beiakte), nicht infrage zu stellen. An der inhaltlichen Richtigkeit der Angaben des Notars – sei es das Ergebnis der Auswertung des alten Servers, sei es die Darstellung des E-Mail-Versands durch die Notariatssoftware – hat das Gericht keine Zweifel. Es gibt keine Anhaltspunkte für eine etwaige Verschleierung oder Vertuschung des Sachverhalts durch Dr. U.. Im Gegenteil hat er durch Auswertung auch des alten, bereits ausgetauschten Servers an der Aufklärung mitgewirkt.

Eine andere Beurteilung ergibt sich schließlich nicht daraus, dass die Kopfzeile der vom Makler weitergeleiteten E-Mail vom 21. Februar 2021 die falsche E-Mail-Adresse xxxxxx00@xxxxx.com ausweist. Dabei kann es sich lediglich um einen Anzeigenamen handeln. Es ist nicht auszuschließen, dass der Text vom Makler vor der Weiterleitung an den Kläger verändert worden ist. Denkbar ist auch, dass der Provider (hier: Google Mail) die Adresse xxxxxx00@xxxxx.com und die Adresse xxxxxxx00@xxxxx.com als dieselbe Adresse behandelt und zustellt.

Eine weitere Prüfung musste die Beklagte bei dieser Sachlage nicht mehr durchführen. Insbesondere verlangt die Pflicht nach Art. 57 Abs. 1 Buchst. f DSGVO, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen, keine weiteren Ermittlungen, wenn ein Datenschutzverstoß – wie hier – aufgrund der bereits durchgeführten, umfassenden Untersuchung hinreichend sicher ausgeschlossen werden kann. Auf die Metadaten der Original-E-Mail vom 21. Februar 2021 kommt es daher nicht mehr an. Ob im Hinblick auf die Verschwiegenheitspflicht nach § 18 Abs. 1 BNotO weitere Untersuchungsbefugnisse der Beklagte gegenüber dem Notar bestehen, kann ebenfalls offenbleiben. Dass die Beklagte ihre Entscheidung, das Beschwerdeverfahren einzustellen, damit begründet, ein Datenschutzverstoß könne nicht abschließend ermittelt werden, ist unschädlich. In der Sache geht auch sie davon aus, dass ein Datenschutzverstoß nicht positiv festgestellt werden kann.

Die Kostenentscheidung folgt aus § 154 Abs. 1 VwGO.

Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 167 VwGO i.V.m. § 708 Nr. 11, § 709 Satz 2, § 711 Zivilprozessordnung.

Rechtsmittelbelehrung

Innerhalb eines Monats nach Zustellung dieses Urteils kann bei dem Verwaltungsgericht Düsseldorf schriftlich beantragt werden, dass das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster die Berufung zulässt. Der Antrag muss das angefochtene Urteil bezeichnen.

Innerhalb von zwei Monaten nach Zustellung des Urteils sind die Gründe darzulegen, aus denen die Berufung zuzulassen ist. Die Begründung ist, soweit sie nicht bereits mit dem Antrag vorgelegt worden ist, bei dem Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster schriftlich einzureichen.

Der Antrag ist zu stellen und zu begründen durch einen Rechtsanwalt oder einen Rechtslehrer an einer staatlichen oder staatlich anerkannten Hochschule eines Mitgliedstaates der Europäischen Union, eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum oder der Schweiz, der die Befähigung zum Richteramt besitzt, oder eine diesen gleichgestellte Person als Bevollmächtigten. Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung öffentlicher Aufgaben gebildeten Zusammenschlüsse können sich auch durch eigene Beschäftigte mit Befähigung zum Richteramt oder durch Beschäftigte mit Befähigung zum Richteramt anderer Behörden oder juristischer Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse vertreten lassen. Auf die besonderen Regelungen in § 67 Abs. 4 Sätze 7 und 8 VwGO wird hingewiesen.

Beschluss

Der Wert des Streitgegenstandes wird auf

5.000,- Euro

festgesetzt.

Gründe

Die Festsetzung des Streitwerts beruht auf § 52 Abs. 2 GKG. Der festgesetzte Wert entspricht dem Auffangstreitwert.

Rechtsmittelbelehrung

Gegen diesen Beschluss kann innerhalb von sechs Monaten, nachdem die Entscheidung in der Hauptsache Rechtskraft erlangt oder das Verfahren sich anderweitig erledigt hat, bei dem Verwaltungsgericht Düsseldorf schriftlich oder zur Niederschrift des Urkundsbeamten der Geschäftsstelle Beschwerde eingelegt werden, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet, falls das Verwaltungsgericht ihr nicht abhilft. Ist der Streitwert später als einen Monat vor Ablauf der genannten Frist festgesetzt worden, kann die Beschwerde innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungsbeschlusses

eingelegt werden. Die Beschwerde ist nur zulässig, wenn der Wert des Beschwerdegegenstandes zweihundert Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Gericht, das die Entscheidung erlassen hat, wegen der grundsätzlichen Bedeutung der zur Entscheidung stehenden Frage zulässt.