Behördlicher Eilstopp für Datenbestände: Mandatsbescheid nach § 22 DSG

Die Datenschutzbehörde kann die Weiterführung einer Datenverarbeitung per Mandatsbescheid untersagen, wenn durch den Betrieb eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen betroffener Personen besteht und Gefahr im Verzug vorliegt. § 22 Abs. 4 DSG erlaubt dabei auch eine Teiluntersagung, wenn sie technisch möglich, sinnvoll und zur Beseitigung der Gefährdung ausreichend ist.

Für Unternehmen beginnt damit ein sofortiger Prüf- und Umsetzungsprozess. Der bezeichnete Verarbeitungsvorgang muss im Umfang des Bescheids unverzüglich gestoppt oder begrenzt werden. Parallel ist zu prüfen, ob binnen zwei Wochen Vorstellung erhoben wird. Die Vorstellung hat bei einer Untersagung keine aufschiebende Wirkung. Der Beitrag behandelt diesen behördlichen Sofortstopp. Das Löschverlangen bei bestehender Aufbewahrungspflicht und die Abgrenzung zwischen Anonymisierung und Pseudonymisierung betreffen eigenständige Verarbeitungssituationen.

§ 22 Abs. 4 DSG verlangt eine qualifizierte Gefahrenlage. Durch den Betrieb einer Datenverarbeitung muss eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen betroffener Personen bestehen. Zusätzlich muss Gefahr im Verzug vorliegen. Die Behörde kann dann die Weiterführung der Datenverarbeitung mit Bescheid gemäß § 57 Abs. 1 AVG untersagen.

Der Maßstab knüpft an den laufenden Betrieb und die drohende Beeinträchtigung der Geheimhaltungsinteressen an. Eine allgemeine Unzufriedenheit mit einer Datenverarbeitung oder eine offene rechtliche Frage erklärt den Eilstopp für sich allein noch nicht. Für die Einordnung sind daher konkrete Datenverarbeitung, betroffene Personen, Gefährdung und Dringlichkeit zusammenzuführen.

Der Mandatsbescheid steht neben anderen datenschutzrechtlichen Verfahrensschritten. Eine behördliche Einschau, ein gewöhnliches Auskunfts- oder Beschwerdeverfahren und ein Antrag auf Einschränkung nach Art. 18 DSGVO sind jeweils gesondert zu prüfen. § 22 Abs. 4 DSG verbindet den Sofortstopp mit der akuten Gefahrenlage.

Die Datenschutzbehörde kann die Weiterführung der Datenverarbeitung vollständig untersagen. Wenn es technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend ist, darf sie die Weiterführung auch nur teilweise untersagen. Der Bescheid muss deshalb mit dem tatsächlichen Datenfluss und den eingesetzten Systemen abgeglichen werden.

Für die Umsetzung sind Verarbeitungsvorgang, Datenkategorien, betroffene Personengruppen, Systeme, Schnittstellen, Empfänger und laufende automatisierte Abläufe zu erfassen. Eine technische Sperre, die nur die sichtbare Oberfläche betrifft, kann zu kurz greifen, wenn Daten über Hintergrundprozesse, Exporte oder Dienstleister weiterverarbeitet werden.

Die Teiluntersagung ist keine allgemeine Erlaubnis für den Restbetrieb. Zulässig fortgeführte Vorgänge müssen vom untersagten Teil nachvollziehbar getrennt sein. Unternehmen sollten deshalb die technische Abgrenzung, die verantwortlichen Personen und die Kontrolle der Sperre zeitnah dokumentieren.

Die Datenschutzbehörde kann vom Verantwortlichen oder Auftragsverarbeiter notwendige Aufklärungen verlangen und Einschau in Datenverarbeitungen und die dazugehörigen Unterlagen begehren. Verantwortlicher oder Auftragsverarbeiter müssen die notwendige Unterstützung leisten. Die Kontrolltätigkeit ist unter möglichster Schonung der Rechte des Unternehmens und Dritter auszuüben.

Für die Einschau darf die Behörde nach Verständigung des Inhabers der Räumlichkeiten und des Verantwortlichen oder Auftragsverarbeiters Räume betreten, in denen Datenverarbeitungen vorgenommen werden. Sie darf Datenverarbeitungsanlagen in Betrieb setzen, die zu überprüfenden Verarbeitungen durchführen und Kopien von Datenträgern im unbedingt erforderlichen Ausmaß herstellen.

Informationen aus der Kontrolltätigkeit dürfen ausschließlich für die Kontrolle im Rahmen datenschutzrechtlicher Vorschriften verwendet werden. Die gesetzliche Geheimhaltungspflicht bildet deshalb einen eigenen Schutzrahmen. Unternehmen sollten Unterlagen vollständig und geordnet bereitstellen, die betroffene Verarbeitung klar bezeichnen und die Zuständigkeit für Antworten festlegen.

Wird die Weiterführung untersagt, muss das Unternehmen die Anordnung im bezeichneten Umfang unverzüglich umsetzen. Praktisch beginnt die Reaktion mit einer gesicherten Kopie des Bescheids, der Prüfung des Spruchs und einer technischen Zuordnung. Danach sind neue Eingaben, automatisierte Läufe, Zugriffe und Weitergaben zu stoppen oder auf den zulässigen Teil zu begrenzen.

Die Umsetzung sollte mit Zeitpunkt, System, Änderung, verantwortlicher Person und Kontrollschritt dokumentiert werden. Dazu gehören auch die Sicherung relevanter Protokolle und die Information jener Stellen, die Datenverarbeitung, Support, Löschung oder Weitergabe steuern. Die Dokumentation darf die angeordnete Sperre nicht durch weitere Kopien oder Ersatzprozesse unterlaufen.

§ 22 Abs. 4 DSG bestimmt ausdrücklich, dass die Datenschutzbehörde nach Art. 83 Abs. 5 DSGVO vorzugehen hat, wenn einer Untersagung nicht unverzüglich Folge geleistet wird. Daraus folgt eine eigenständige Sanktionsgefahr. Welche Rechtsfolge im Einzelfall eintritt, hängt vom weiteren Verfahren und den konkreten Umständen ab.

§ 57 Abs. 1 AVG erlaubt einen Bescheid ohne vorausgegangenes Ermittlungsverfahren, wenn bei Gefahr im Verzug unaufschiebbare Maßnahmen erforderlich sind. Ein Mandatsbescheid nach § 22 Abs. 4 DSG kann auf dieser Grundlage erlassen werden. Der Bescheid ist deshalb sofort ernst zu nehmen, auch wenn die Sachverhaltsaufklärung noch nicht abgeschlossen ist.

Gegen einen nach § 57 Abs. 1 AVG erlassenen Bescheid kann bei der Behörde, die ihn erlassen hat, binnen zwei Wochen Vorstellung erhoben werden. Diese Frist ist anhand des konkreten Zustellnachweises zu berechnen. Die Vorstellung hat nur bei der Vorschreibung einer Geldleistung aufschiebende Wirkung. Bei einer Untersagung der Weiterführung einer Datenverarbeitung setzt sie die Umsetzung daher nicht aus.

Für die rechtliche Prüfung sind Spruch, Begründung, Zustellung, Gefahrenannahme, betroffene Verarbeitung und Umfang der Anordnung zusammenzulesen. Auch die Frage, ob eine technisch mögliche und ausreichende Teiluntersagung statt einer vollständigen Untersagung in Betracht kommt, kann für die Einordnung wichtig sein.

Die Vorstellung führt nicht automatisch zu einer sofortigen Aufhebung des Eilstopps. Nach § 57 Abs. 3 AVG hat die Behörde binnen zwei Wochen nach Einlangen der Vorstellung das Ermittlungsverfahren einzuleiten. Unterbleibt diese Einleitung, tritt der angefochtene Bescheid von Gesetzes wegen außer Kraft. Auf Verlangen der Partei ist dieses Außerkrafttreten schriftlich zu bestätigen.

Unternehmen sollten deshalb Einbringung, Eingang und weitere behördliche Schritte beweissicher festhalten. Die laufende technische Umsetzung der Untersagung und die Kommunikation mit der Behörde brauchen getrennte Verantwortlichkeiten. So bleibt die Fristkontrolle möglich, ohne dass die Schutzmaßnahme durch eine unklare interne Zuständigkeit gefährdet wird.

Die weitere Prüfung konzentriert sich auf die konkrete Gefährdung, die Erforderlichkeit und den Umfang der Anordnung. Neue technische Maßnahmen, eine sichere Trennung von Verarbeitungsteilen oder eine geänderte Datenverarbeitung können für die fachliche Beurteilung relevant werden. Sie ersetzen die fristgerechte Vorstellung und die Befolgung des bestehenden Bescheids nicht.

Für eine konkrete Prüfung brauchen wir den vollständigen Bescheid, den Zustellnachweis, die betroffene Datenverarbeitung, die technische Umsetzung, die relevanten Datenflüsse und die bisher gesetzten Schutzmaßnahmen. Wir ordnen Gefährdung, Umfang, unverzügliche Befolgung und Vorstellung gemeinsam ein. So lässt sich festlegen, welche Verarbeitung sofort zu stoppen ist und welche Schritte innerhalb der Frist vorzubereiten sind.