Tatbestand

Streitig ist die Verpflichtung der Beklagten zu datenschutzrechtlichen Aufsichtsmaßnahmen.

Die am 00.00.0000 geborene Klägerin ist bei der Beigeladenen gesetzlich krankenversichert. Die Beklagte ist die datenschutzrechtliche Aufsichtsbehörde der Beigeladenen.

In den Jahren 2009 bis 2014 wurden im Rahmen von zahnprothetischen und zahnärztlichen Behandlungen der Klägerin sowie anlässlich der Erstellung von Gutachten in Verfahren zur Prüfung von Behandlungsfehlern mehrere Panoramaschicht- und Röntgenaufnahmen angefertigt (Panoramaschichtaufnahmen/Röntgenaufnahmen vom 23.06.2009, 14.07.2009, 25.08.2009, 27.10.2009, 03.12.2010, 06.01.2012, 01.10.2012, 30.01.2014 und 03.11.2014 sowie zwei weitere Röntgenaufnahmen unbekannten Datums). Unter dem 30.10.2015 fertigte die Klägerin zudem ein Gedächtnisprotokoll mit 10 Originalfotos zum Behandlungsablauf.

Eine von der Klägerin in der Zwischenzeit beauftragte Rechtsanwältin forderte die Behandlungsunterlagen der zuvor behandelnden Ärzte an und beantragte eine weitere Begutachtung zur Unterstützung bei Behandlungsfehlern bei der Beigeladenen (Schreiben vom 23.12.2015). Zugleich informierte sie die Klägerin über die Antragstellung und bedankte sich für die bisher eingereichten „Behandlungsunterlagen und Röntgenbilder des Behandlers“ (Schreiben vom 23.12.2015). Die Beigeladene bestätigte die Antragstellung (Schreiben vom 06.01.2016) und bat um Übersendung der vorliegenden zahnärztlichen Unterlagen. In der Folge übermittelte die Rechtsanwältin Unterlagen an die Beigeladene, die diese an den MDK weiterleitete.

Im Oktober 2017 teilte der zuständige Gutachter des MDK mit, dass mit Ausnahme einer schlechten Kopie der Röntgenaufnahme vom 30.01.2014 keine weiteren Röntgenaufnahmen oder Fotos vorhanden seien. Die zu diesem Zeitpunkt nicht mehr anwaltlich vertretene Klägerin übersandte daraufhin sechs Fotos, zwei Panoramaschichtaufnahmen vom 03.12.2010 und vom 03.11.2014 sowie zwei weitere Röntgenaufnahmen vom 03.11.2014 an die Beigeladene mit der Bitte um Weiterleitung an den MDK (Schreiben vom 06.11.2017). Die Beigeladene leitete der Klägerin eine Stellungnahme des Gutachters vom 23.12.2017 weiter, der mitteilte, eine aussagekräftige Begutachtung sei nach Durchsicht der Unterlagen nicht möglich. Zugleich übersandte sie jedenfalls die Unterlagen zurück, die ihr die Klägerin unmittelbar zur Verfügung gestellt hatte (Schreiben vom 15.01.2018).

Die Klägerin bat die Beigeladene um Erläuterung bzw. Auflistung, welche Unterlagen vom Gutachter erwähnte Aktenordner enthalten würden (Schreiben vom 26.01.2018). Diese erwiderte, die zur Verfügung gestellten Röntgenaufnahmen seien bereits mit Schreiben vom 15.01.2018 zurückgesandt worden. Eine Auflistung der Unterlagen sei nicht erstellt worden, Akten mit Originalunterlagen lägen nicht vor, der Verlauf von Postwegen sei nicht nachverfolgbar.

Daraufhin erhob die Klägerin eine datenschutzrechtliche Beschwerde gegenüber der Beigeladenen, mit der sie primär die Herausgabe der Röntgenaufnahmen des behandelnden Zahnarztes sowie von zehn dazugehörigen Fotos begehrte (Schreiben vom 29.01.2019). Es sei nicht ersichtlich, wer welche Unterlagen weitergeleitet oder bewusst zurückgehalten habe. Ihre Rechtsanwältin habe die Behandlungsunterlagen des Zahnarztes erhalten und an die Beigeladene weitergeleitet. Sie selbst habe diese Unterlagen jedoch nie zu Gesicht bekommen. Der Gutachter habe offensichtlich nicht über die notwendigen Behandlungsunterlagen verfügt, obwohl diese von der Rechtsanwältin an die Beigeladene übersandt worden seien.

Die Beigeladene bestätigte den Sachverhalt gegenüber der Beklagten im Wesentlichen (Stellungnahmen vom 08.04.2019 und vom 26.08.2019). Sie habe eine von der Rechtsanwältin der Klägerin übermittelte Akte mit umfangreichen Unterlagen dem MDK zu Begutachtung vorgelegt. Das Ergebnis sei der Rechtsanwältin am 11.05.2016 mitgeteilt worden. Sie habe Panoramaschichtaufnahmen angefordert und eine persönliche Begutachtung angeregt. Nach anfänglicher Ablehnung habe sich die Klägerin dazu bereiterklärt und am 06.11.2017 ergänzende Unterlagen (Röntgenunterlagen und Fotos) nachgereicht, die ebenfalls an den MDK übermittelt worden seien. Mit dem Begutachtungsergebnis habe man auch die Originalröntgenaufnahmen und Fotos zurückgesandt (Schreiben vom 15.01.2018), die Klägerin habe den Eingang mit Schreiben vom 26.01.2018 bestätigt. Weitere Unterlagen lägen nicht mehr vor. Sofern eine Überlassung tatsächlich erfolgt sei, seien die Unterlagen vernichtet.

Nach Anhörung der Klägerin wies die Beklagte die Beschwerde zurück (Bescheid vom 09.12.2019). Auch nach erneuter Recherche lägen bei der Beigeladenen keine weiteren Röntgenaufnahmen oder Fotos vor, ein datenschutzrechtlicher Verstoß der Beigeladenen sei nicht gegeben.

Am 10.01.2020 hat die Klägerin beim Sozialgericht Düsseldorf Klage erhoben. Der vom MDK beauftragte Gutachter habe ihr in Telefonaten bestätigt, dass diesem lediglich folgende Unterlagen vorgelegen hätten: Eine schwarze und daher nicht verwertbare Kopie der Röntgenaufnahme vom 30.01.2014, die durch sie persönlich mit Schreiben vom 06.11.2017 übersandten (sechs) Fotos zzgl. Panoramaschichtaufnahmen (zwei) vom 03.12.2010 und (eine) vom 03.11.2014 sowie Röntgenaufnahmen vom 03.11.2014. Mit Schreiben vom 15.01.2018 habe sie auch nur die durch sie persönlich übersandten Unterlagen zurückerhalten. Eine Rücksendung der übrigen Behandlungsunterlagen, welche ihre Rechtsanwältin an die Krankenkasse übersandt habe, sei weder an diese, noch an sie persönlich erfolgt. Unklar sei daher der Verbleib der Panoramaschichtaufnahmen vom 23.06.2009, 14.07.2009, 25.08.2009, 27.10.2009 und vom 03.12.2010. Zudem fehlten zwei Panoramaschichtaufnahmen am 06.01.2012 und 01.10.2012 sowie zwei weitere Röntgenaufnahmen unbekannten Datums. Nähere Angaben könne sie hierzu nicht machen, da diese von der Rechtsanwältin direkt an die Beigeladene weitergeleitet worden seien. Weiter gehe es um den Verbleib des Gedächtnisprotokolls vom 30.10.2015 mit 10 Originalfotos. Sie habe wiederholt, insbesondere im Jahr 2018, versucht, den Verbleib ihrer Unterlagen bei der Rechtsanwältin und der Beigeladenen zu klären. Letztere habe jedoch nur auf die nicht nachvollziehbaren Postläufe im eigenen Hause verwiesen. Allein dies sei datenschutzrechtlich angesichts der Betroffenheit sensibler Patientendaten problematisch. Sie hoffe, dass die Überprüfung durch die Beklagte den positiven Nebeneffekt habe, dass sich die Beigeladene verpflichtet sehe, im eigenen Haus nach dem Verbleib der Unterlagen zu forschen. Insoweit lasse sich der Verbleib der Unterlagen auf einfachem Wege durch eine Anfrage bei der damals mandatierten Rechtsanwältin klären, welche Unterlagen sie konkret übersandt habe. Zudem sei eine Erklärung der Beigeladenen erforderlich, welche Unterlagen sie erhalten und an den MDK weitergeleitet habe.

Die Klägerin hat beantragt,

den Beklagten unter Aufhebung des Bescheides vom 09.12.2019 zu verpflichten, auf ihre Beschwerde vom 29.01.2019 die Krankenkasse anzuweisen, den Verbleib ihrer Unterlagen, insbesondere Röntgenaufnahmen, Fotos und Gedächtnisprotokolle, nachzuweisen.

Die Beklagte hat beantragt,

die Klage abzuweisen.

Die Klägerin habe weder einen Anspruch auf Aufhebung der Entscheidung, noch auf Feststellung eines Datenschutzverstoßes oder Herausgabe der Unterlagen. Ein Anspruch auf konkrete Maßnahmen bestehe nicht. Der Sachverhalt sei unter Ausschöpfung angemessener Ermittlungsmaßnahmen, insbesondere unter Würdigung der Stellungnahmen der Klägerin und durch Einholung von Stellungnahmen der Beigeladenen, hinreichend ermittelt worden. Ein datenschutzrechtlicher Verstoß sei danach nicht feststellbar. Die Beigeladene habe vielmehr glaubhaft dargelegt, über die angeforderten Unterlagen nicht zu verfügen und alle unmittelbar von der Klägerin übermittelten Unterlagen zurückgesandt zu haben. Dass die angeforderten Unterlagen an die Beigeladene übersandt worden seien, werde auch durch den vorgelegten umfangreichen Schriftverkehr nicht belegt. Zwar sei auch berücksichtigt worden, dass die Klägerin über die mit Schreiben vom 26.01.2018 zurückgesandten Unterlagen hinaus die Herausgabe weiterer Unterlagen begehre. Die Beigeladene habe jedoch mitgeteilt, dass weitere Röntgenaufnahmen und Fotos nicht (mehr) vorlägen.

Das Sozialgericht Düsseldorf hat die Klage abgewiesen (Urteil vom 28.08.2023). Die Beklagte habe zu Recht einen Datenschutzverstoß abgelehnt. Es sei nicht erkennbar, dass die von der Klägerin im Einzelnen benannten Unterlagen tatsächlich an die Beigeladene übermittelt worden seien. Die Klägerin habe ausdrücklich bestätigt, dass sie keine näheren Angaben hierzu machen könne. Auch der Gutachter des MDK habe nur bestätigt, dass sich die Röntgenaufnahmen und Fotos nicht in den Unterlagen befunden hätten. Darüber hinaus habe die Beklagte gleichwohl eine Auskunft der Beigeladenen eingeholt, die erklärt habe, alle vorhandenen Originalunterlagen an die Klägerin zurückgesandt zu haben, weitere Unterlagen hätten nicht mehr vorgelegen. Zu weiteren Ermittlungsmaßnahmen, wie einem Auskunftsersuchen an die Rechtsanwältin, sei die Beklagte nicht verpflichtet.

Gegen das am 14.10.2023 zugestellte Urteil hat die Klägerin am 13.11.2023 Berufung eingelegt. Grund ihrer Klage sei gewesen, den Verbleib der Unterlagen zu klären. Wenn sie selbst hierüber den Nachweis erbringen müsse, hätte sie nicht die Beklagte anrufen müssen. Von datenschutzrechtlicher Relevanz sei die Mitteilung der Beigeladenen, es sei nicht möglich, den Postweg im eigenen Haus noch nachzuvollziehen. Dies mache Missbrauch der Daten möglich und zeige ein Organisationsverschulden auf. Dass die Anwältin die benannten Unterlagen, insbesondere die Behandlungsunterlagen und Röntgenaufnahmen des ehemaligen Behandlers und ihr 19-seitiges Gedächtnisprotokoll vom 30.10.2015, das u.a. zehn eingefügte Beweisfotos und beweiskräftige Anlagen enthalte, an die Beigeladene weitergeleitet hat, stelle sie unter Beweis durch Zeugnis der damaligen Rechtsanwältin.

Die Klägerin beantragt (wortwörtlich),

den Beklagten unter Aufhebung des Bescheides vom 09.12.2019 zu verpflichten, auf meine Beschwerde vom 29.01.2019 die Krankenkasse anzuweisen, den Verbleib meiner Unterlagen, insbesondere der Behandlungsunterlagen und Röntgenaufnahmen des Behandlers H. und meines 19-seitigen Gedächtnisprotokolls vom 30.10.2015, das u.a. 10 eingefügte Beweisfotos und beweiskräftige Anlagen enthält, nachzuweisen.

Die Beklagte beantragt,

die Berufung zurückzuweisen.

Die Beigeladene hat keinen Antrag gestellt.

Die Beklagte trägt vor, ein zur Ausübung von Abhilfebefugnissen führender Datenschutzverstoß sei jedenfalls dann anzunehmen, wenn die Beigeladene ihr tatsächlich vorliegende Unterlagen nicht an die Klägerin herausgegeben oder den Untergang von Dokumenten in ihrer Organisation schuldhaft verursacht hätte. Die Klägerin habe den Eingang der Unterlagen bei der Beigeladenen aber nicht schlüssig vorgetragen. Sie habe zwar die betreffenden Dokumente konkret benannt, könne aber weder den Versand der Unterlagen noch den Eingang bei der Beigeladenen darlegen. Sie könne nur darlegen, welche Aufnahmen und Unterlagen es insgesamt gegeben habe und für die Begutachtung durch den MDK erforderlich gewesen seien und daher der Beigeladenen vorgelegen haben müssten und welche nun nicht mehr vorlägen. Hieraus folgere sie, dass die Unterlagen bei der Beigeladenen verblieben sein müssten. Das sei aber nicht zwingend. Sie wisse nicht, welche Unterlagen der behandelnde Arzt der damaligen Rechtsanwältin überlassen habe, welche diese der Beigeladenen und welche diese wiederum dem MDK übersandt habe und wie die jeweiligen Rückläufe ausgesehen hätten. Die Klägerin habe mit Schreiben vom 05.08.2021 mitgeteilt, sie habe ein Jahr lang vergeblich versucht, von der Anwältin und der Beigeladenen die Unterlagen zurückzuerhalten. Dies verdeutliche, dass sie selbst nicht sicher gewesen sei, ob sich die Unterlagen bei der Anwältin oder der Beigeladenen befunden hätten.

Die Beigeladene hat sich in der Sache nicht eingelassen.

Wegen des weiteren Sach- und Streitstandes wird auf den Inhalt der Gerichtsakten sowie den der von der Beklagten und der Beigeladenen beigezogenen Verwaltungsvorgänge Bezug genommen.

Entscheidungsgründe

A. Die zulässige, insbesondere form- und fristgerecht eingelegte (§§ 143, 144 Abs. 1 Nr. 1, 151 Abs. 1 Sozialgerichtsgesetz [SGG]) Berufung ist nicht begründet.

Das Sozialgericht Düsseldorf hat die zulässig erhobene Klage (dazu I.) zu Recht abgewiesen (dazu II.).

I. Die Klage ist zulässig.

1. Für Streitigkeiten zwischen einer natürlichen oder juristischen Person und dem oder der Bundesbeauftragten oder der nach Landesrecht für die Kontrolle des Datenschutzes zuständigen Stelle gemäß Art. 78 Abs. 1 und 2 der Verordnung (EU) 2016/679 (DS-GVO) aufgrund der Verarbeitung von Sozialdaten im Zusammenhang mit einer Angelegenheit nach § 51 Abs. 1 und 2 SGG ist gemäß § 81a Abs. 1 Satz 1 Zehntes Buch Sozialgesetzbuch (SGB X) der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet. Vorliegend wendet sich die Klägerin gegen die Ablehnung aufsichtsrechtlicher Maßnahmen durch eine Aufsichtsbehörde mit Sitz in Deutschland (Art. 78 Abs. 3 DS-GVO) wegen einer von ihr angenommenen Datenschutzverletzung im Zusammenhang mit einer Angelegenheit der gesetzlichen Krankenversicherung (§ 51 Abs. 1 Nr. 2 SGG). Die örtliche Zuständigkeit des Sozialgerichts Düsseldorf ist gegeben (§ 57 Abs. 1 SGG), die Ausnahme in § 81a Abs. 2 SGB X liegt nicht vor.

2. Die Klage ist als kombinierte Anfechtungs- und Verpflichtungsklage (§ 54 Abs. 1 Satz 1 SGG) statthaft. Die Klägerin begehrt unter Aufhebung einer insoweit ablehnenden Entscheidung die Verpflichtung der Beklagten zum Erlass eines Aufsichtsmaßnahmen regelnden Verwaltungsakts. Gegenstand ist allein der Bescheid vom 09.12.2019; ein Vorverfahren findet nicht statt (vgl. § 81a Abs. 6 SGB X). Neben der Anfechtungsklage ist für eine Klage auf Verurteilung zum Erlass konkreter aufsichtsbehördlicher Maßnahmen, die grundsätzlich im Ermessen der Aufsichtsbehörde stehen (vgl. Europäischer Gerichtshof vom 07.12.2023 - C-26/22, Rn. 68 nach juris; EuGH vom 16.07.2020 - C-311/18, Rn. 112 nach juris), die Verpflichtungsklage nach § 54 Abs. 1 2. Alt. SGG statthafte Klageart (BSG, Urteil vom 29.02.2024 - B 8 SO 2/23 R, Rn. 16 nach juris unter Bezugnahme auf Körffer in Paal/Pauly, DS-GVO/Bundesdatenschutzgesetz , 3. Aufl. 2021, Art. 78 DS-GVO Rn. 4).

II. Die Klage ist unbegründet. Die Klägerin hat keinen Anspruch auf Aufhebung des Bescheides vom 09.12.2019. Sie wird durch diesen nicht beschwert i.S.d. § 54 Abs. 2 SGG, denn dieser erweist sich als rechtmäßig.

1. Ausgangspunkt für das Begehren der Klägerin ist Art. 78 Abs. 1 DS-GVO. Nach der Rechtsprechung des EuGH zur Auslegung des Art. 78 Abs. 1 DS-GVO, der sich der Senat anschließt, unterliegt ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde zwecks wirksamen gerichtlichen Rechtsschutzes danach einer vollständigen inhaltlichen Überprüfung durch ein Gericht (BSG, Urteil vom 29.02.2024 - B 8 SO 2/23 R, Rn. 19 nach juris; BSG, Urteil vom 20.01.2021 - B 1 KR 7/20 R, Rn. 111 nach juris). Die Klägerin wendet sich gegen den Bescheid vom 09.12.2019, der das Beschwerdeverfahren bei der Beklagten gem. Art. 77 DS-GVO abschließt.

Nach Art. 57 Abs. 1 Buchstabe f DS-GVO ist jede Aufsichtsbehörde verpflichtet, sich in ihrem Hoheitsgebiet mit Beschwerden zu befassen, die jede Person gemäß Art. 77 Abs. 1 DS-GVO einlegen kann, wenn sie der Ansicht ist, dass eine Verarbeitung sie betreffender personenbezogener Daten gegen diese Verordnung verstößt, und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen. Die Aufsichtsbehörde muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten (EuGH, Urteil vom 07.12.2023 - C-26/22, Rn. 56; EuGH, Urteil vom 16.07.2020 - C-311/18, Rn. 109).

Hinsichtlich der Bearbeitung von Beschwerden verleiht Art. 58 Abs. 1 DS-GVO jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse. Stellt eine solche Behörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck werden in Art. 58 Abs. 2 DS-GVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt (EuGH, Urteil vom 07.12.2023 - C-26/22, Rn. 57 nach juris; vgl. auch EuGH, Urteil vom 16.07.2020 - C-311/18, Rn. 111 nach juris). Hinsichtlich der in Art. 58 Abs. 2 DS-GVO aufgezählten Abhilfebefugnisse verfügt die Behörde über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel (EuGH, Urteil vom 07.12.2023 - C-26/22, Rn. 68 nach juris).

2. Der Anwendungsbereich der DS-GVO ist grundsätzlich eröffnet. Gemäß Art. 2 Abs. 1 DS-GVO gilt die DS-GVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Bei den hier streitigen Behandlungsunterlagen sowie Röntgenaufnahmen und Fotos, die in einem Verfahren nach § 66 SGB V eingereicht worden sind, handelt es sich um personenbezogene Daten, da diese Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, enthalten (vgl. Art. 4 Nr. 1 DS-GVO). Sofern diese im Zusammenhang mit einem Verfahren nach § 66 SGB V zu den Akten der Beigeladenen genommen werden, liegt auch eine Verarbeitung im Sinne des Art. 4 Nr. 2 DS-GVO vor. Auch in Bezug auf die Röntgenaufnahmen und Fotos, deren Herausgabe die Klägerin verlangt bzw. deren Verbleib die Klägerin von der Beigeladenen nachgewiesen wissen will, ist ebenfalls vom Anwendungsbereich der DS-GVO auszugehen, denn auch diese werden in ein Aktensystem bzw. in Aktenordnern erfasst und stellen damit eine strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, dar (Art. 4 Nr. 6 DS-GVO).

3. Die Voraussetzungen für ein aufsichtsbehördliches Einschreiten liegen nicht vor. Die Beklagte hat nach angemessener Prüfung zu Recht bereits das Vorliegen eines Datenschutzverstoßes verneint.

a) Prüfungsmaßstab für die Aufsichtsbehörde bei einer Beschwerde ist die Frage, ob ein Verstoß gegen die DS-GVO vorliegt. Die Pflicht, eine Beschwerde in angemessenem Umfang zu untersuchen und sorgfältig zu prüfen, ergibt sich aus Art. 57 Abs. 1 Buchstabe f DS-GVO, die konkreten Untersuchungsbefugnisse ergeben sich aus Art. 58 Abs. 1 DS-GVO. Hierbei steht der Behörde indes kein Ermessen nach nationalem Rechtsverständnis i.S.d. § 40 Verwaltungsverfahrensgesetz (VwVfG), § 35 SGB X zu. Der EuGH hat klargestellt, dass die Gewährleistung eines wirksamen gerichtlichen Rechtsschutzes es nicht erfordert, dass das Gericht befugt wäre, seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse an die Stelle der Beurteilung dieser Behörde zu setzen, sondern verlangt, dass dieses Gericht prüft, ob die Aufsichtsbehörde die Grenzen ihres Ermessens eingehalten hat (EuGH, Urteil vom 07.12.2023 - C-26/22, Rn. 69, nach juris). Damit macht der EuGH weder konkrete Vorgaben für die Aufsichtsbehörde noch schreibt er einen konkreten Prüfungsmaßstab vor, sondern setzt lediglich Mindeststandards: Es ist ausreichend, wenn das Gericht die Einhaltung der Grenzen des Ermessens der Aufsichtsbehörde kontrolliert.

aa) Für die Untersuchung, ob ein Datenschutzverstoß vorliegt, steht der Behörde kein begründungsbedürftiges „Ermessen“ nach nationalem Rechtsverständnis i.S.d. § 40 VwVfG, § 35 SGB X zu. Vielmehr hat sie ein nichtförmliches „Verfahrensermessen“ beim „Ob“ und vor allem „Wie“ der Sachverhaltsaufklärung und hat dieses - wie im materiellen Recht - grundsätzlich pflichtgemäß auszuüben (vgl. § 20 Abs. 1 Satz 2 SGB X: „Sie bestimmt Art und Umfang der Ermittlungen“ sowie § 21 Abs. 1 Satz 1 SGB X: „Die Behörde bedient sich der Beweismittel, die sie nach pflichtgemäßem Ermessen zur Ermittlung des Sachverhalts für erforderlich hält.“, vgl. zum Begriff des „Verfahrensermessens“ auch Luthe in jurisPK-SGB X, § 20 SGB X, Rn. 1). Dieses Verständnis ergibt sich auch aus Art. 58 Abs. 1 DS-GVO, wonach die Behörde den Sachverhalt mit den genannten Mitteln in „angemessenem Umfang“ (Art. 57 Abs. 1 Buchstabe f DS-GVO) aufzuklären hat. Die Beurteilung der Frage, ob der Sachverhalt angemessen aufgeklärt wurde, unterliegt der gerichtlichen Kontrolle, wobei der unbestimmte Rechtsbegriff „angemessen“ im Einzelfall zu konkretisieren ist. In der Regel bedeutet dies nicht, dass die Aufsichtsbehörde verpflichtet ist, weitreichende eigene tatsächliche Ermittlungen anzustellen, um den Sachverhalt aufzuklären. Dem Beschwerdeführer obliegt hier zunächst eine Substantiierungspflicht, Ermittlungen „ins Blaue hinein“ hat die Aufsichtsbehörde nicht vorzunehmen (vgl. VG Hamburg, Urteil vom 01.06.2021 - 17 K 2977/19, Rn. 54 nach juris m.w.N.). Regelmäßig ist die Aufsichtsbehörde berechtigt, die Beschwerde (allein) anhand der vom Beschwerdeführer dargelegten Begründung zu prüfen (VG Hamburg a.a.O.). Gegen eine zu weitreichende Sachverhaltsermittlungspflicht spricht auch, dass die durch den Verordnungsgeber angestrebte effektive Durchsetzung von Rechten betroffener Personen ggf. auf unterschiedlichen Rechtswegen erfolgen kann; so kann etwa ein Betroffener gerichtlich wahlweise direkt gegen die Stelle vorgehen, der er einen Datenschutzverstoß zur Last legt, oder gegen die Aufsichtsbehörde, von der er ein Einschreiten begehrt. Dies darf aber nicht dazu führen, dass ein Beschwerdeführer durch Ausübung des Beschwerderechts und Inanspruchnahme sozialgerichtlicher Rechtsschutzmöglichkeiten in der Sache einen weitergehenden Anspruch erhält. Es ist insbesondere zu vermeiden, dass von Zivilgerichten, ggf. in mehreren Instanzen, abgelehnte Ansprüche von der Aufsichtsbehörde gleichsam neu aufgerollt werden müssen, weil diese im Rahmen ihrer Ermittlungen weitergehende Untersuchungen etwa darüber anstellen muss, ob eine beanstandete Tatsachenbehauptung wahr oder unwahr ist (wie hier Hamburgisches OVG, Urteil vom 07.10.2019 - 5 Bf 291/17, Rn. 86, nach juris).

bb) Erst wenn ein Verstoß festgestellt wird, der ggf. auch in einer Gefährdung des Datenschutzes bestehen kann, hat der Beschwerdeführer einen - nach Art. 78 Abs. 1 DSGVO gerichtlich durchsetzbaren - Anspruch auf ermessensfehlerfreie Entscheidung über ein Einschreiten der Aufsichtsbehörde (vgl. EuGH, Urteil vom 07.12.2023 - C-26/22, Rn. 68 f. nach juris; so bereits VG Hamburg, Urteil vom 01.06.2021 - 17 K 2977/19, Rn. 56 ff. nach juris). Dies bezieht sich insbesondere auf die Abhilfebefugnisse in Art. 58 Abs. 2 DS-GVO, wohingegen die Untersuchungsbefugnisse v.a. darauf abzielen, einen Verstoß gegen die DS-GVO festzustellen. In Bezug auf das Einschreiten steht der Aufsichtsbehörde sowohl ein Entschließungs- als auch ein Auswahlermessen zu, wobei bei einem festgestellten Verstoß gegen die DS-GVO das Entschließungsermessen aufgrund der Verpflichtung, die Anwendung der Datenschutzgrundverordnung durchzusetzen (Art. 57 Abs. 1 Buchstabe a DS-GVO), regelmäßig dahingehend reduziert sein dürfte, von ihren Abhilfebefugnissen nach Art. 58 Abs. 2 DS-GVO Gebrauch zu machen bzw. mit dem Ziel der Abstellung des Verstoßes vorzugehen (wie hier VG Hamburg, Urteil vom 01.06.2021 - 17 K 2977/19, Rn. 59 nach juris). Das Auswahlermessen bezieht sich auf die Frage, von welchen ihr zustehenden Abhilfebefugnissen die Behörde Gebrauch macht.

b) Hieran gemessen hat die Beklagte den Sachverhalt in angemessenem Umfang aufgeklärt. Ein Datenschutzverstoß ist danach nicht feststellbar.

Ausgehend von den o.g. Erwägungen (unter II. 3. a) aa)) hat die Beklagte den Sachverhalt ausreichend und in angemessenem Umfang ermittelt. Dabei hat sie sich nicht allein auf das Vorbringen der Klägerin in der Beschwerdeschrift gestützt, sondern von der Beigeladenen, der die Klägerin einen Datenschutzverstoß vorwirft, mehrere Stellungnahmen eingeholt. Aus diesen ergibt sich im Kern, dass die Beigeladene beteuert, sie habe die von der Klägerin konkret benannten Unterlagen (Panoramaschichtaufnahmen bzw. Röntgenaufnahmen vom 23.06.2009, 14.07.2009, 25.08.2009, 27.10.2009, 03.12.2010, 06.01.2012, 01.10.2012 und 30.01.2014, zwei weitere Röntgenaufnahmen unbekannten Datums, vom 03.11.2014, weitere Panoramaschichtaufnahmen und eine Einzelaufnahme sowie ein Gedächtnisprotokoll vom 30.10.2015 mit zehn Originalfotos zum Ablauf der Behandlungen) nicht (mehr) in ihrem Besitz. Anhand der vorliegenden Unterlagen lässt sich allein nachvollziehen, dass die ehemalige Rechtsanwältin der Klägerin offenbar Behandlungsunterlagen und Röntgenaufnahmen der Klägerin beim vorbehandelnden Zahnarzt angefordert und diese nach eigenem Bekunden vollständig an die Beigeladene weitergeleitet hatte. Selbst wenn der Senat unterstellt, dass die ehemalige Rechtsanwältin der Klägerin die Unterlagen vollständig (einschließlich aller von der Klägerin konkret benannter Unterlagen) an die Beigeladene übersandt hat, folgt daraus nicht, dass diese auch bei der Beigeladenen vollständig eingegangen sind. Eine genaue Bezeichnung aller übersandten Unterlagen enthalten weder die Schreiben der von der Klägerin beauftragten Rechtsanwältin noch der Beigeladenen. Selbst wenn der Senat davon ausgeht, dass sich die bezeichneten Unterlagen bei der Beklagten befanden, lässt dies nicht zwingend den Rückschluss auf einen Datenschutzverstoß zu. Wie die Beklagte zu Recht ausführt, ist unklar, welche Unterlagen tatsächlich der behandelnde Arzt der ehemaligen Rechtsanwältin der Klägerin, die ehemalige Rechtsanwältin der Klägerin der Beigeladenen, die Beigeladene dem MDK und dieser dann ggf. dem konkreten Gutachter übersandt hat und wie die jeweiligen Rückläufe aussahen. Zu Recht weist die Beklagte auch darauf hin, dass die Klägerin sich selbst nicht immer sicher war, wo sich die Unterlagen befinden, wenn sie u.a. in Ihrer Stellungnahme vom 05.08.2021 ausführt, sie habe zur Weiterverfolgung ihrer Rechtsansprüche ein Jahr lang vergeblich versucht, von der Anwältin und der Beigeladenen ihre Unterlagen zurückzuerhalten. Eine Nachfrage bei der Rechtsanwältin zum Verbleib der Unterlagen wäre dann nicht erforderlich gewesen, wenn mit Sicherheit festgestanden hätte, dass sich die betreffenden Dokumente bei der Beigeladenen befanden.

Die Beklagte war auch nicht verpflichtet, im Rahmen der Sachverhaltsaufklärung, wie die Klägerin jetzt begehrt, ihre ehemalige Rechtsanwältin als Zeugin zu der Frage zu vernehmen, ob sie die fraglichen Unterlagen an die Beigeladenen weitergeleitet hat. Ob eine Zeugenvernehmung von den Untersuchungsbefugnissen in Art. 58 Abs. 1 DS-GVO gedeckt ist, kann im Ergebnis dahinstehen, wobei zu berücksichtigen ist, dass es sich hierbei um eine am behaupteten Datenschutzverstoß der Beigeladenen unbeteiligte Person handelt. Jedenfalls ist nicht erkennbar, wie sich hieraus die Annahme oder auch nur der Verdacht eines Datenschutzverstoßes ergeben soll. Denn selbst wenn man unterstellt, dass die Rechtsanwältin die Unterlagen weitergeleitet hat, steht damit immer noch weder fest, dass die Beklagte diese Unterlagen auch erhalten hat, noch, ob die Unterlagen ggf. auf einem der vielen weiteren möglichen Versendungswege (von der Beigeladenen zum MDK, von dort zum Gutachter, vom Gutachter zum MDK, zurück zur Beigeladenen) verloren gegangen sind.

Jede weitere Ermittlung käme im Ergebnis einem Ausforschungsbeweis gleich, mit dem zudem primär keine datenschutzrechtlichen Ziele verfolgt werden. Zwar läge dann, wenn sich herausstellen würde, dass die Beigeladene ihr tatsächlich vorliegende Unterlagen nicht an die Klägerin herausgegeben oder sie den Untergang von Dokumenten in ihrer Organisation schuldhaft verursacht hätte, ein Verstoß gegen Art. 15 Abs. 1 und Art. 32 Abs. 1 DS-GVO nahe. Im Kern geht es der Klägerin aber nicht um die Durchsetzung von Datenschutzverstößen, sondern um die Klärung des Verbleibs der genannten Unterlagen. Anders als die Klägerin etwa auf Seite 8 ihrer Berufungsschrift annimmt, ist es aber nicht die Aufgabe der Beklagten, „den Verbleib der Unterlagen zu ermitteln“ und damit gleichsam die datenschutzrechtlichen Untersuchungsbefugnisse dazu zu nutzen, Beweismittel für eine etwaige Durchsetzung eines (ggf. zivilrechtlichen) Herausgabeanspruchs - gegen wen auch immer - zu sammeln. Die Beklagte hat mit den ihr zur Verfügung stehenden Befugnissen vielmehr die Einhaltung des Datenschutzes zu sichern. Hierzu muss sie mit ihren Ressourcen so haushalten, dass ein möglichst hohes Datenschutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten gewährleistet werden kann und eine Stärkung der Rechte aller betroffenen Personen erfolgt.

c) Da kein Verstoß gegen datenschutzrechtliche Vorschriften vorliegt, hat die Beklagte auch zu Recht nicht geprüft, ob und ggf. von welchen Abhilfebefugnissen sie Gebrauch macht.

4. Die Klägerin kann ihren Anspruch auch nicht auf nationale Rechtsvorschriften stützen. Die Rechtsgrundlage in § 14 Abs. 1 Satz 6 Bundesdatenschutzgesetz (BDSG) wird durch die DS-GVO verdrängt (§ 1 Abs. 5 BDSG).

B. Die Kostenentscheidung beruht auf § 197a Abs. 1 SGG i.V.m. § 154 Abs. 1 und 2 Verwaltungsgerichtsordnung (VwGO). Als unterliegender Beteiligter waren der Klägerin, die vor der Entscheidung auf diese Möglichkeit hingewiesen worden ist, die Kosten aller Rechtszüge aufzuerlegen. Die garantierte Kostenfreiheit des Beschwerdeverfahrens (Art. 57 Abs. 3 DS-GVO) gilt nach den Grundsätzen der DS-GVO nicht für das Gerichtsverfahren. Für Streitigkeiten i.S.d. § 81a Abs. 1 SGB X ist das SGG anzuwenden (§ 81a Abs. 2 SGB X). Nach § 197a Abs. 1 SGG sind Kosten nach dem Gerichtskostengesetz (GKG) zu erheben und die §§ 154 bis 162 VwGO anzuwenden, wenn in einem Rechtszug weder der Kläger noch der Beklagte zum Kreis der in § 183 SGG genannten Personen gehört. Dies ist hier der Fall, da weder Klägerin noch Beklagte i.S.d. § 183 Satz 1 SGG zum Kreis der Versicherten, Leistungsempfänger einschließlich Hinterbliebenenleistungsempfänger, behinderten Menschen oder deren Sonderrechtsnachfolger nach § 56 SGB I gehören. Vorliegend klagt die Klägerin nicht als Versicherte gegen die gesetzliche Krankenversicherung, sondern begehrt als betroffene Person von der Beklagten als Datenschutzaufsichtsbehörde den Erlass effektiver Aufsichtsmaßnahmen (vgl. BSG, Urteil vom 29.02.2024 - B 8 SO 2/23 R, Rn. 38 nach juris; Bieresborn in Schütze, SGB X, 10. Aufl. 2026, § 81a Rn. 23).

C. Die Festsetzung des Streitwerts in Höhe von 5.000 Euro für das Berufungs- und Klageverfahren beruht auf § 197a Abs. 1 SGG i.V.m. §§ 47, 52 Abs. 2 i.V.m. § 63 Abs. 3 Satz 1 GKG. Da für die Bestimmung des Streitwerts der Sach- und Streitstand keine hinreichenden Anhaltspunkte bietet, war er auf 5.000 Euro festzusetzen.

D. Gründe, die Revision zuzulassen, bestehen nicht (§ 160 Abs. 2 SGG).