Am 20.Februar 2020 beurteilte das Verwaltungsgericht Mainz (Akz. 1 K 467/19.MZ) die Rechtmäßigkeit der Übermittlung personenbezogener Daten durch einen Tierarzt an sein Inkassobüro. Dem Rechtsstreit vorausgegangen war ein Bescheid des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI), mit dem der LfDI den Arzt wegen angeblich unrechtmäßiger Datenübermittlung verwarnte. Das Verwaltungsgericht hob den Bescheid auf. Es vertritt die Auffassung, dass ein Tierarzt die zur Durchsetzung des ärztlichen Honorars erforderlichen personenbezogenen Daten – auch ohne Einwilligung – an ein Inkassounternehmen übermitteln darf. Allein die abstrakte Möglichkeit, aus Informationen über Tierbehandlungsverträge Rückschlüsse auf die Gesundheit des Tierhalters zu ziehen, mache diese Daten nicht zu Gesundheitsdaten, die gemäß Art. 9 DSGVO nur unter besonderen Bedingungen oder infolge einer Einwilligung des Betroffenen verarbeitet werden dürfen.
1. Sachverhalt
Gegen den gegen ihn erlassenen Bescheid der Behörde wandte sich ein Tierarzt, der seine Forderung aus der Behandlungen eines Tieres gegen den Tierhalter in Höhe von etwa 1000 Euro an eine Verrechnungsstelle für Tierärzte abtrat und der Verrechnungsstelle zum Zweck der Durchsetzung der Forderung personenbezogene Daten des Tierhalters übermittelte.
Der Arzt hat mit der Verrechnungsstelle einen Abrechnungsvertrag und einen Auftragsverarbeitungsvertrag im Sinne des Art.28 DSGVO geschlossen. Seine Forderungen aus tierärztlicher Tätigkeit konnte der Arzt auf der Grundlage des Vertrages auf die Verrechnungsstelle übertragen, wenn der Patient beziehungsweise der Tierhalter mit der Zahlung in Verzug geriet und die Verrechnungsstelle die Abtretung annahm. Durch Annahme der Abtretung wurde die Verrechnungsstelle jeweils Forderungsinhaberin. Im Zuge der Vertragsdurchführung erhielt die Verrechnungsstelle für Abrechnungszwecke personenbezogene Daten der jeweiligen Tierhalter vom Tierarzt. Nachdem ein Tierhalter eine Arztrechnung des Klägers nicht fristgemäß bezahlt hatte, stornierte der Kläger seine selbst erstellte Rechnung und übermittelte sie an die tierärztliche Verrechnungsstelle zur Durchführung des Inkassos. Da der Tierhalter für die Datenübermittlung keine Einwilligung erteilt hatte, reichte er Beschwerde bei dem LfDI ein, der den vom Kläger angefochtenen Beschluss erließ.
2. Rechtmäßigkeit der Datenverarbeitung
a) Kein Auftragsverarbeitungsvertrag
Die personenbezogenen Daten des betroffenen Tierhalters seien nach Auffassung des Verwaltungsgerichts nicht im Rahmen einer Auftragsdatenverarbeitung im Sinne des Art.28 DSGVO übertragen worden.
Die Forderungsabtretung bedurfte nach dem Vertrag zwingend der Annahmeerklärung der Verrechnungsstelle in jedem Einzelfall. Da die Verrechnungsstelle die Möglichkeit hatte, Abtretungen des Klägers also abzulehnen, sei sie datenschutzrechtlich nicht weisungsgebunden gewesen. Die Verrechnungsstelle habe die Daten auch nicht im Auftrag des Klägers verarbeitet, weil der Kläger gemäß dem Vertrag seine Forderungen gegenüber dem Tierhalter an die Verrechnungsstelle abgetreten habe. Die Verrechnungsstelle habe daher ihre eigene Forderung gegenüber dem Tierhalter eigenständig durchgesetzt und die Daten daher selbstständig und weisungsfrei verarbeitet.
Liegt ein Auftragsverarbeitungsverhältnis vor, ist es dem Verantwortlichen gestattet, personenbezogene Daten auch ohne eine Grundlage im Sinne der Artikel 6 ff DSGVO an seinen Auftragsverarbeiter zu übermitteln („Privilegierungswirkung“ in der Auftragsverarbeitung). Unumstritten ist diese Rechtsansicht jedoch nicht. Die Privilegierung betrifft selbstverständlich nur die Übermittlung an den Auftragsverarbeiter. Die Verarbeitung der Daten (durch den Auftragsverarbeiter) ist nur auf der Grundlage eines Erlaubnistatbestands gemäß Art. 6ff DSGVO rechtmäßig. Liegt wie im zu entscheidenden Fall ein Auftragsverarbeitungsverhältnis nicht vor, ist ein dennoch geschlossener Auftragsverarbeitungsvertrag datenschutzrechtlich unbeachtlich. Er kann nicht herangezogen werden, um die Datenübertragung zwischen zwei Verantwortlichen (hier der Tierarzt und der Verrechnunsstelle) zu legitimieren. Die Datenübermittlung, die selbst Datenverarbeitung ist, Art.4 Nr.2 DSGVO, bedarf daher einer Legitimation gemäß Art.5 Abs.1 Buchst.a), 6 ff DSGVO.
b) Rechtmäßigkeit gemäß Art.6 Abs. 1 Satz 1 lit. b DSGVO
Gemäß Artikel 6 Absatz 1 Satz 1 lit.b) DSGVO ist die Verarbeitung personenbezogener Daten dann rechtmäßig, wenn die Verarbeitung für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, erforderlich ist. Nicht notwendig ist in diesem Zusammenhang, dass der Vertragspartner (hier der Tierarzt) des Betroffenen und der die Daten verarbeitende Verantwortliche (die Verrechnungsstelle) personenidentisch sind. Auch Datenverarbeitungen durch Dritte (also nicht die Parteien des Vertrags) sind rechtmäßig, wenn sie erforderlich sind für die Erfüllung eines Vertrages, deren Partei der Betroffene ist.
An das Tatbestandsmerkmal „Erforderlichkeit“ seien nach Meinung des Verwaltungsgerichts keine allzu strengen Anforderungen zu stellen. Erforderlich sei die Datenverarbeitung regelmäßig, wenn die essentiali negotii (nämlich die Parteien, die Leistung bzw. die Gegenleistung regelnde Bestandteile) des Vertrages betroffen sind. Und: „Eine Datenverarbeitung ist nicht erst dann zur Erfüllung des Vertrags erforderlich, wenn der Vertrag ohne die Datenverarbeitung gar nicht durchgeführt werden könnte; vielmehr reicht es aus, wenn die Datenverarbeitung objektiv sinnvoll im Hinblick auf den Vertragszweck ist.“ (Urteil RN 31)
Zu den Essentialia des Vertrages zählen die Pflicht des Klägers zur Behandlung des Tiers sowie die Pflicht des Tierhalters, das Honorar zu bezahlen. Seiner Pflicht war der Tierhalter nicht nachgekommen, da er die Rechnung nicht innerhalb der Zahlungsfrist ausglich. Die Durchsetzung dieser Forderung diene – aus Sicht des Klägers – dem Zweck des Behandlungsvertrages, dem Generieren von Honoraren. Diesem Zweck habe auch die Abtretung der Forderung an die Verrechnungsstelle gedient. Dem Kläger sei es um effektives Forderungsmanagement gegangen.
Und weiter: „Die für die Forderungsdurchsetzung durch das Inkassounternehmen erforderlichen Daten durften hier übermittelt werden. Schließlich ist die Datenübermittlung notwendiges Mittel zum Zweck: Es geht darum, die fällige Forderung beim Schuldner eintreiben zu können. Ohne die notwendigen Informationen wäre die übertragene Forderung für den Zessionar nutzlos …. Dabei dürfen jedoch nur diejenigen Daten dem Inkassodienstleister übermittelt werden, die zur Forderungsbeitreibung benötigt werden.“ (Urteil RN 33)
Zusammenfassend habe nach Auffassung des Verwaltungsgerichts der Kläger die personenbezogenen Daten des Tierhalters an einen unbeteiligten Dritten (die Verrechnungsstelle) zu dessen selbstständigen Verarbeitung für dessen eigene Zwecke übermitteln können, weil dies mit Blick auf ein effektives Forderungsmanagement des Tierarztes „objektiv sinnvoll im Hinblick auf den Vertragszweck ist“ und damit „erforderlich“ im Sinne des Datenschutzrechts.
c) Rechtmäßigkeit gemäß 6 Abs. 1 Satz 1 Buchst. f DSGVO
Gemäß Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO ist die Verarbeitung von Daten zulässig, wenn dies zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Auf dieser Grundlage müssen die berechtigten Interessen des Verantwortlichen mit den Interessen der betroffenen Person abgewogen werden.
Bei der Abwägung fiel es dem Verwaltungsgericht leicht, das Interesse des Klägers an einer effektiven Durchsetzung seiner Forderungen höher zu gewichten als Interessen des Tierhalters. Das Verwaltungsgericht unterließ es bedauerlicherweise, die Interessen, Rechte und Freiheiten auf der Seite des Tierhalters auch nur zu benennen, die mit denen des Klägers abzuwägen waren (es ist der durch Artt. 7 und 8 GRCh gewährte Schutz personenbezogene Daten). Jedenfalls habe der Tierhalter durch sein Verhalten, die Rechnung nicht zu begleichen, selbst dazu beigetragen, dass die Datenübermittlung zur Forderungseinziehung erforderlich geworden sei (Urteil RN 37). Die Übermittlung der personenbezogenen Daten sei daher auch in Anwendung von Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO rechtmäßig.
d) keine Gesundheitsdaten im Sinne des Art.9 DSGVO
Im zu entscheidenden Fall hat der Kläger das Tier wegen Zoonosen behandelt, einer Krankheit, die vom Tier auf den Menschen übertragen werden kann. Die lediglich abstrakte Möglichkeit der Übertragung auf den Tierhalter mache diese Information, die ebenfalls an die Verrechnungsstelle übermittelt wurde, aber nicht zu einem Gesundheitsdatum im Sinne des Art.9 DSGVO. Die besonderen zusätzlichen Voraussetzungen für eine rechtmäßige Datenübertragung von Gesundheitsdaten im Sinne des Art. 9 DSGVO habe das Verwaltungsgericht daher nicht prüfen müssen (Urteil RN 39).
3. Bewertung und Ausblick
Je weiter der Begriff der Erforderlichkeit im Sinne des Art.6 Abs.1 Buchst.b) DSGVO ausgedehnt („sinnvoll im Hinblick auf den Vertragszweck“) und im Sinne einer Durchsetzung berechtigter Interessen interpretiert wird, desto geringer die Bedeutung der Interessenabwägung im Sinne des Buchstaben f). Das kann die Rechtsposition Betroffener bei der Verarbeitung ihrer personenbezogenen Daten schwächen, weil nur auf der Grundlage von Art.6 Abs.1 Buchst. f) DSGVO die Interessen, Rechte und Freiheiten des Betroffenen berücksichtigt werden. Bei Anwendung von Art.6 Abs.1 Buchst.b) DSGVO nicht.
Das Verwaltungsgericht Mainz stellt sich in seinem Urteil unausgesprochen gegen die strengere Auslegung des Begriffs „erforderlich“ des Art.6 Abs.1 Buchst.b) DSGVO durch deutsche und europäische Datenschutzbehörden, bedauerlicherweise ohne sich mit Stand der Meinungen in Rechtsprechung und Literatur auseinanderzusetzen. Art.6 Abs.1 Buchst.b) DSGVO gestattet nach aufsichtsbehördlicher Interpretation lediglich diejenige Datenverarbeitung, ohne die eine Erfüllung des Vertrags nicht möglich ist (z.B. BfDI „DSGVO – BDSG Texte und Erläuterungen“, S. 32: Geeignet für den Vertragszweck und das mildeste Mittel; Art. 29 Gruppe WP 217, S.21: Nicht für Situationen, in denen die Verarbeitung für die Erfüllung eines Vertrags nicht wirklich notwendig ist).
In der Praxis wird die Anwendung von Art.6 Abs.1 Buchst. f) DSGVO gern vermieden, weil die Ergebnisse einer Interessenabwägung nach Buchstabe f) schwer vorhersehbar sind. Buchst. f) ist in seiner Anwendung also etwas vage. Da aber auch die Auslegung des Begriffs „erforderlich“ umstritten ist, wird der Versuch, Datenverarbeitungen durch weite Auslegung des Begriffs „erforderlich“ auf der Grundlage von Art.6 Abs.1 Buchst. a) DSGVO zu legitimieren, ebenfalls riskant.
Dem für die Datenverarbeitung Verantwortlichen ist zu raten, zur Vermeidung von Risiken Verarbeitungsschritte an den Empfehlungen der Aufsichtsbehörden auszurichten, soweit sich in der Rechtsprechung nicht eine andere Auslegung etabliert hat. Das ist bisher in Bezug auf den Begriff „erforderlich“ nicht der Fall.
Datenschutzrecht
Artt. 6, 9, 28 DSGVO