Oberverwaltungsgericht Berlin-Brandenburg Urteil vom 02.10.2024 – 1 K 251/22

Orientierungssatz

Im Zusammenhang mit dem Auskunftsanspruch nach Art. 15 DS-GVO ist § 273 Abs. 1 BGB nicht anwendbar. (Rn.20)

Die Klage wird abgewiesen.

Die Klägerin trägt die Kosten des Verfahrens.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin kann die Vollstreckung durch Sicherheitsleistung i.H.v. 110 % des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte zuvor Sicherheit i.H.v. 110 % des jeweils zu vollstreckenden Betrages leistet.

Die Klägerin wendet sich gegen eine datenschutzrechtliche Verwarnung durch die Beklagte.

Die Klägerin betreibt eine Online-Plattform, bei der die Beschwerdeführerin im späteren Verwaltungsverfahren bei der Beklagten ein Abonnement gebucht hatte. Dieses Abonnement hatte die Beschwerdeführerin durch E-Mail vom 22. Dezember 2021, 15:34 Uhr, in englischer Sprache gekündigt und gleichzeitig geschrieben: „Please send me all my data before deleting the account, I would like to make a subject access request“. In der Folge kam es zu einem längeren Austausch zwischen der Klägerin und der Beschwerdeführerin in englischer Sprache, wobei die Beschwerdeführerin unter anderem wiederum die Übermittlung der gespeicherten Daten und die Klägerin unter anderem noch offene Forderungen thematisieren.

Am 28. Dezember 2021 beschwerte sich die Beschwerdeführerin bei der Beklagten über die Klägerin, weil sie keine Datenauskunft von dieser erhalten hatte. Daraufhin hörte die Beklagte die Klägerin durch Schreiben vom 28. Januar 2022 zum Sachverhalt an, worauf die Klägerin durch Schreiben vom 21. März 2022 Stellung nahm. In diesem Schreiben trug sie insbesondere vor, der zuständige Mitarbeiter habe das Auskunftsbegehren der Beschwerdeführerin aufgrund sprachlicher Barrieren übersehen, insbesondere sei ihm der von der Beschwerdeführerin verwendete Begriff des „subject access request“ nicht geläufig gewesen. Sie teilte zugleich mit, dass sie der Beschwerdeführerin am 4. März 2022 die begehrte Auskunft bezüglich der bei ihr gespeicherten Daten per E-Mail erteilt habe.

Am 25. April 2022 hörte die Beklagte die Klägerin zum Erlass einer Verwarnung aufgrund eines Verstoßes gegen die Datenschutz-Grundverordnung (DS-GVO) an. Hierauf teilte diese durch Schreiben vom 18. Mai 2022 insbesondere mit, dass ihr bezüglich der begehrten Auskunft ein Zurückbehaltungsrecht zugestanden habe, da ein vertraglich geschuldeter Betrag von der Beschwerdeführer noch nicht gezahlt worden sei.

Am 21. Juni 2022 erließ die Beklagte einen Bescheid, mit dem sie eine Verwarnung gegenüber der Klägerin wegen eines Verstoßes gegen die DS-GVO wegen der verzögerten Datenauskunft gegenüber der Beschwerdeführerin aussprach. Zur Begründung führte sie im Wesentlichen aus, dass das Auskunftsbegehren der Beschwerdeführerin spätestens mit einer E-Mail vom 23. Dezember 2021 eindeutig gewesen sei. Der Klägerin stünde kein Zurückbehaltungsrecht wegen offener Forderungen zu. Die Verwarnung sei zudem angemessen.

Hiergegen hat die Klägerin am 10. Juli 2022 Klage erhoben. Diese begründet sie im Wesentlichen wiederum damit, dass ihr bezüglich der Datenauskunft gegenüber der Beschwerdeführerin ein Zurückbehaltungsrecht nach § 273 Abs. 1 BGB zugestanden habe. Insbesondere liege eine Konnexität in diesem Sinne vor. Sie habe die zahlreichen E-Mails der Beschwerdeführerin nicht als Auskunftsersuchen, sondern als Zahlungsverweigerung verstanden. Jedenfalls sei die Verwarnung aber unverhältnismäßig. Die Beklagte hätte auf die Anweisung nach Art. 58 Abs. 2 lit. c DS-GVO als milderes Mittel zurückgreifen müssen.

Die Klägerin beantragt,

den Bescheid der Beklagten vom 21. Juni 2022 aufzuheben.

Die Beklagte beantragt,

die Klage abzuweisen.

Sie ist im Wesentlichen der Auffassung, dass das Auskunftsersuchen der Beschwerdeführerin verständlich gewesen sei. Auf ein Zurückbehaltungsrecht könne die Klägerin sich in Zusammenhang mit einem Auskunftsbegehren nach der DS-GVO nicht berufen. Die Verwarnung sei verhältnismäßig; insbesondere stelle sie das gegenüber der Anweisung mildere Mittel dar.

Die Kammer hat den Rechtsstreit mit Beschluss vom 29. Juli 2024 nach § 6 Abs. 1 VwGO der Berichterstatterin als Einzelrichterin zur Entscheidung übertragen.

Hinsichtlich der weiteren Einzelheiten des Sachverhalts und des Vorbringens der Beteiligten wird auf den Inhalt der Streitakte sowie den Inhalt des von der Beklagten vorgelegten Verwaltungsvorgangs verwiesen.

Die zulässige Klage hat keinen Erfolg. Sie ist unbegründet. Die mit Bescheid der Beklagten vom 21. Juni 2022 ausgesprochene Verwarnung ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten (vgl. § 113 Abs. 1 Satz 1 VwGO).

I. Rechtsgrundlage der Verwarnung ist Art. 58 Abs. 2 lit. b) der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung – DS-GVO). Danach hat die Beklagte als Aufsichtsbehörde für den Datenschutz (vgl. § 8 Abs. 2 Berliner Datenschutzgesetz – BlnDSG, § 40 Abs. 1 BDSG) die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DS-GVO verstoßen hat.

II. Diese Voraussetzungen liegen hier vor, weil die Klägerin mit der der Beschwerdeführerin erst am 4. März 2022 erteilten Auskunft gegen Art. 15 Abs. 1 Hs. 2 Var. 1 i.V.m. Art. 12 Abs. 3 Satz 1 DS-GVO verstoßen hat. Die Klägerin war gegenüber der Beschwerdeführerin zur Auskunftserteilung bis zum 22. Januar 2022 verpflichtet (vgl. hierzu unter 1.), hat die begehrte Auskunft jedoch verspätet erteilt (vgl. hierzu unter 2.).

1. Nach Art. 15 Abs. 1 Hs. 2 Var. 1 DS-GVO hat die betroffene Person gegenüber dem Verantwortlichen einer Verarbeitung personenbezogener Daten das Recht auf Auskunft über diese personenbezogenen Daten.

Zur Wahrung des Auskunftsrechts ist es erforderlich, dass der Betroffene eine vollständige Übersicht der Daten erhält, die Gegenstand der Verarbeitung sind, in verständlicher Form (vgl. EuGH, Urteil vom 17. Juli 2014 – C-141/12 und C-372/12, ZD 2014, 515, 518). Sinn und Zweck des Auskunftsanspruchs aus Art. 15 Abs. 1 DS-GVO ist es, wie sich unter anderem aus Erwägungsgrund 63 zur DS-GVO ergibt, den Betroffenen in die Lage zu versetzen, von einer Verarbeitung ihn betreffender personenbezogener Daten Kenntnis zu erhalten, um im Folgenden nicht nur die Richtigkeit dieser Daten, sondern auch die Zulässigkeit ihrer Verarbeitung überprüfen und ggf. die ihm nach den Art. 16 ff. DS-GVO zustehenden Rechte – beispielweise auf Löschung oder Einschränkung der Verarbeitung der Daten – ausüben zu können (vgl. EuGH, Urteil vom 4. Mai 2023 – C-487 –, juris Rn. 33f.; vgl. auch: Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 15 Rn. 32; Franck, in: Gola/Heckmann, DS-GVO/BDSG, 3. Auflage, 2022, DS-GVO Art. 15 Rn. 22; vgl. zum Vorstehenden: VG Berlin, Urteil vom 6. Februar 2024 – VG 1 K 187/21 –, juris Rn. 34).

Die Klägerin war gegenüber der Beschwerdeführerin aufgrund deren Auskunftsersuchens von 22. Dezember 2021 zu einer Auskunft im oben genannten Sinne verpflichtet. Die Beschwerdeführerin hat die Klägerin mit E-Mail vom 22. Dezember 2021, 15:34 Uhr, um Datenauskunft ersucht, als sie schrieb: „Please send me all my data before deleting the account“.

Anders als die Klägerin meint, stand der Verpflichtung zur Auskunftserteilung kein Zurückbehaltungsrecht nach § 273 Abs. 1 Bürgerliches Gesetzbuch (BGB) entgegen. Denn auf ein solches kann sich die Klägerin im Zusammenhang mit dem Auskunftsanspruch nach Art. 15 DS-GVO nicht berufen. § 273 Abs. 1 BGB ist hier nach Überzeugung der Einzelrichterin nicht anwendbar (offen gelassen: OLG Düsseldorf, NZG 2023, 1138 Rn. 30, das im Rahmen eines insolvenzrechtlichen Verfahrens bereits die Konnexität verneint; für den umgekehrten Fall im Ergebnis a.A. AG Wiesbaden, ZD 2022, 395 Rn. 20 ff., das die Anwendbarkeit des § 273 Abs. 1 BGB im Zusammenhang mit Art. 15 DS-GVO jedoch nicht thematisiert).

Hierfür sprechen zunächst, die divergierenden Schutzrichtungen des § 273 Abs. 1 BGB und des Art. 15 DS-GVO. Während § 273 Abs. 1 BGB der Schaffung eines Druckmittels zur Durchsetzung eines zivilrechtlichen Anspruchs dient (vgl. Krüger, in: Münchener Kommentar zum BGB, 9. Auflage, 2022, § 273 Rn. 3), ist Art. 15 DS-GVO Ausprägung des Schutzes personenbezogener Daten nach Art. 8 Abs. 2 Satz 2 der Charta der Grundrechte der Europäischen Union (GRCh) (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 15 Rn. 3) und in seiner Anwendung in Deutschland auch des Grundrechts auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG.

Der Auskunftsanspruch aus der Datenschutzgrundverordnung hat per se keinerlei Bezug zu einer vertraglichen Beziehung und setzt eine solche auch nicht voraus – mag der Anspruch in einer Vielzahl von Fällen auch parallel zu einem vertraglichen Verhältnis der Beteiligten geltend gemacht werden.

Darüber hinaus spricht gegen eine Anwendbarkeit des im BGB geregelten Zurückbehaltungsrechts im Rahmen eines Auskunftsanspruchs nach Art. 15 DS-GVO, der Anwendungsvorrang des Gemeinschaftsrechts. Als unmittelbar in allen Mitgliedstaaten geltendes EU-Recht hat Art. 15 DS-GVO in seinem Anwendungsbereich Vorrang vor nationalem Recht (vgl. Artikel 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union [AEUV]).

Das Auskunftsrecht nach Art. 15 DS-GVO kann nur unter den besonderen Voraussetzungen des Art. 23 DS-GVO beschränkt werden. Nach Art. 23 Abs. 1 DS-GVO können durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, unter anderem die Pflichten und Rechte gemäß den Artikeln 12 bis 22 im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die neben anderen Zielen (vgl. lit. a) bis h)) unter anderem Folgendes sicherstellt: i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; j) die Durchsetzung zivilrechtlicher Ansprüche.

Zwar erfüllt § 273 Abs. 1 BGB das Tatbestandsmerkmal der Beschränkung, denn eine solche liegt auch dann vor, wenn die Ausübung eines Rechts zeitlich verzögert wird (vgl. European Data Protection Board, Leitlinien 10/2020 zu Beschränkungen nach Artikel 23 DSGVO, Fassung 2.1, 13. Oktober 2021 Rn. 8, abrufbar: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/publikationen/EDSA/

2020-10_EDSA_Leitlinien_Beschraenkungen-Artikel-23-DS-GVO.pdf, zuletzt abgerufen: 11. Oktober 2024 – im Folgenden: Leitlinien – Rn. 12).

Jedoch liegt im Hinblick auf § 273 Abs. 1 BGB kein Fall einer nach Art. 23 Abs. 1 DS-GVO zulässigen Beschränkung vor. Denn das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB dient nicht der Sicherstellung eines der in Art. 23 Abs. 1 lit. a) bis j) DS-GVO genannten Ziele. In Betracht kommen hier nur Art. 23 Abs. 1 lit. i) Var. 2 (vgl. unter a.) und Art. 23 Abs. 1 lit. j) DS-GVO (vgl. unter b.).

a. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB stellt nicht den Schutz der Rechte und Freiheiten anderer Personen i.S.d. Art. 23 Abs. 1 lit. i) Var. 2 DS-GVO sicher. Die Norm ist nach Überzeugung der Einzelrichterin im Interesse des effektiven Schutzes der Betroffenenrechte restriktiv auszulegen.

Hierfür spricht zunächst der Wortlaut, wonach eine Beschränkung der Betroffenenrechte zur „Sicherstellung“ des Schutzes der Rechte und Freiheiten anderer möglich ist. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB geht jedoch über eine reine „Sicherstellung“ der Rechte anderer hinaus. Dessen Sinn und Zweck besteht vielmehr – wie bereits erwähnt – in der Schaffung eines Druckmittels zur Durchsetzung eines zivilrechtlichen Anspruchs (s.o.).

Für eine restriktive Auslegung des Art. 23 Abs. 1 lit. i) DS-GVO spricht zudem der systematische Vergleich mit den anderen Buchstaben des Art. 23 Abs. 1 (vgl. z.B. lit. a) die nationale Sicherheit; lit. b) die Landesverteidigung; lit. c) die öffentliche Sicherheit; lit. f) den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren). Die in den anderen Buchstaben des Art. 23 Abs. 1 DS-GVO benannten Schutzgüter zeigen, dass eine Beschränkung des Auskunftsrechts nach Art. 15 DS-GVO nur in besonders gewichtigen Fällen und zum Schutz hochrangiger (Rechts-)Güter zulässig sein soll (vgl. Leitlinien Rn. 8, die auf „wichtige Ziele“ Bezug nehmen), wozu ein vertragliches Zurückbehaltungsrecht nach Überzeugung der Einzelrichterin nicht zählt. Dementsprechend benennen die Leitlinien des European Data Protection Boards im Zusammenhang mit Art. 23 Abs. 1 lit. i) DS-GVO beispielhaft den Schutz eines Zeugen, Opfers oder Hinweisgebers im Rahmen eines Disziplinarverfahrens, der durch Beschränkung des Auskunftsrechts nach der DS-GVO vor Vergeltungsmaßnahmen des Auskunftsberechtigten geschützt werden soll (vgl. Leitlinien Rn. 34). In ähnlicher Weise wird in der Literatur darauf Bezug genommen, dass höherrangige, menschenrechtsrelevante Interessen, die Grundlage einer beschränkenden Rechtsvorschrift i.S.d. Art. 23 Abs. 1 lit. i) DS-GVO sein können (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 23 Rn. 42).

Für eine restriktive Auslegung des Art. 23 Abs. 1 lit. i) DS-GVO spricht darüber hinaus der effektive Schutz der Betroffenenrechte. Würde eine Beschränkung des datenschutzrechtlichen Auskunftsanspruch zugunsten eines Druckmittels zur Durchsetzung zivilrechtlicher Ansprüche zugelassen, könnte dieses datenschutzrechtliche Betroffenenrecht weitgehend ausgehebelt werden (vgl. auch Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33b, der sich aus diesem Grund gegen eine extensive Auslegung des Art. 23 Abs. 1 lit. j) ausspricht). In der Praxis führte dies etwa dazu, dass eine auskunftsberechtigte Privatperson, in die Lage versetzt würde, gegenüber einem Unternehmen, welches ggf. dauerhaft auf professionelle rechtliche Beratung zurückgreifen kann, nachweisen – und ggf. gerichtlich – durchsetzen zu müssen, dass die Voraussetzungen eines Zurückbehaltungsrechts im konkreten Fall nicht vorliegen. Gerade derartigen Hürden soll der Auskunftsanspruch nach Art. 15 DS-GVO jedoch nicht unterliegen, denn dieser soll den Betroffenen die Möglichkeit eröffnen, sich problemlos über die Verarbeitung der eigenen personenbezogenen Daten zu informieren (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 15 Rn. 3).

b. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB stellt auch nicht die Durchsetzung zivilrechtlicher Ansprüche i.S.d. lit. j) sicher. Die Regelung des lit. j) ist weitestgehend schon von der in lit. i) getroffenen Regelung abgedeckt und stellt hierzu einen Sonderfall dar. Sie entfaltet eigenständige Bedeutung etwa im Bereich der Zwangsvollstreckung oder der Gewinnung von Beweismitteln für einen Zivilprozess (vgl. zum Vorstehenden: Bertermann, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 23 Rn. 13; Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33c; Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 23 Rn. 43).

Aus den o.g. Gründen ist auch Art. 23 Abs. 1 lit. j) DS-GVO restriktiv auszulegen (Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33b). Die Norm dient weder dem Zweck, ein informationelles Gleichgewicht zwischen Prozessbeteiligten (vgl. Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33d), noch sonst ein (zivilrechtliches) Gleichgewicht zwischen den Parteien herzustellen oder einer Partei ein Druckmittel zur Durchsetzung zivilrechtlicher Rechte zu verschaffen (s.o.).

2. Die Auskunftserteilung durch die Klägerin gegenüber der Beschwerdeführerin am 4. März 2022 war verspätet. Nach Art. 12 Abs. 3 Sätze 1 bis 3 DS-GVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung.

Die der Beschwerdeführerin erteilte Auskunft war nicht fristgerecht im Sinne des Art. 12 Abs. 3 Satz 1 DS-GVO. Die Monatsfrist nach Satz 1 der Norm ist offenkundig nicht gewahrt. Der Auskunftsanspruch der Beschwerdeführerin ist bei der Klägerin erstmals mit E-Mail vom 22. Dezember 2021,15:34 Uhr, eingegangen, als sie schrieb: „Please send me all my data before deleting the account“. Nach Überzeugung der Einzelrichterin geht bereits aus dieser Formulierung – unabhängig von dem durch die Beschwerdeführerin ebenfalls verwendeten Begriff des „subject access requests“, von dem die Klägerin vorträgt, dass ihr Mitarbeiter diesen nicht verstanden habe, eine Auskunftsbegehren i.S.d. Art. 15 Abs. 1 DS-GVO klar und eindeutig hervor. In der Folge hat die Beschwerdeführerin ihr Auskunftsbegehren gegenüber der Klägerin mehrfach wiederholt – so etwa in einer E-Mail vom 23. Dezember 2021, 17:15 Uhr, in der es heißt: „(…) Please send me all of the data that you have collected on me (…)“ oder in einer E-Mail vom 28. Dezember 2021, 00:51 Uhr, in der es heißt: „I am entitled to my data under GDPR. If you refuse to provide this data I will ask the BfDI to fine you for breaking European law“. Unter Berücksichtigung dieser eindeutigen Formulierungen und des Umstandes, dass die Klägerin die Kommunikation mit der Beschwerdeführerin offenkundig unproblematisch in der englischen Sprache geführt hat, ist nach Überzeugung der Einzelrichterin nicht glaubhaft, dass sie das Auskunftsbegehren der Beschwerdeführerin nicht verstanden oder übersehen hätte.

Es liegt auch kein Fall der Verlängerung der Auskunftsfrist i.S.d. Art. 12 Abs. 3 Satz 2, 3 DS-GVO vor. Den offenkundig hat die Klägerin die Auskunftsfrist gegenüber der Beschwerdeführerin nicht verlängert und es ist auch nicht ersichtlich, dass dies erforderlich gewesen wäre; im Übrigen beruft sich die Klägerin hierauf auch nicht.

III. Die Beklagte hat das ihr im Rahmen des Art. 58 Abs. 2 DS-GVO eröffnete Ermessen rechtmäßig ausgeübt und sich für eine Verwarnung i.S.d. des lit. b) entschieden.

Ist die Behörde ermächtigt, nach ihrem Ermessen zu handeln, hat sie ihr Ermessen entsprechend dem Zweck der Ermächtigung auszuüben und die gesetzlichen Grenzen des Ermessens einzuhalten (vgl. § 40 VwVfG). Im Sinne des eingeschränkten gerichtlichen Prüfungsumfanges des durch die Verwaltung ausgeübten Ermessens nach § 114 VwGO sind nach der Rechtsprechung der Ermessensausfall, die Ermessensunterschreitung, die Ermessensüberschreitung sowie der Ermessensfehlgebrauch als Ermessensfehler zu prüfen (vgl. Wolff, in: Sodan/Ziekow, VwGO, 5. Auflage, 2018, § 114 Rn. 84). Auch im Rahmen der Ermessensentscheidung hat die Verwaltung den Grundsatz der Verhältnismäßigkeit zu wahren (vgl. Wolff, in: Sodan/Ziekow, VwGO, 5. Auflage, 2018, § 114 Rn. 159). Ein Ermessensfehler liegt unter anderem vor, wenn die Behörde bei ihrer Ermessensentscheidung nicht alle diejenigen Gesichtspunkte in den Blick genommen und zutreffend gewürdigt hat, die bei einer Ermessensentscheidung zu beachten sind (vgl. BVerwG, NVwZ 2000, 688).

Gemessen an diesem Maßstab liegen nach Überzeugung der Einzelrichterin keine Ermessensfehler vor. Die Beklagte hat alle relevanten Gesichtspunkte beachtet, insbesondere hat sie den Verstoß der Klägerin als nicht schwerwiegend eingestuft und in ihrer Abwägungsentscheidung ihre Erwartung berücksichtigt, dass die Klägerin sich künftig an datenschutzrechtliche Vorschriften halten werde.

Der Ausspruch einer Verwarnung gegenüber der Klägerin ist zudem verhältnismäßig. Entgegen der Auffassung der Klägerin war die Beklagte nicht verpflichtet, anstelle der Verwarnung als milderes gleich geeignetes Mittel eine Anweisung nach Art. 58 Abs. 2 lit. c) DS-GVO auszusprechen. Denn die Anweisung stellt die gegenüber der Verwarnung schärfere und nicht mildere Maßnahme dar. Dies geht bereits systematisch aus dem Aufbau des Art. 58 Abs. 2 DS-GVO hervor, der mit den Buchstaben a) ff. eine Steigerung in der Intensität der Maßnahmen erkennen lässt. So sieht etwa lit. a) eine Warnung in Bezug auf voraussichtliche Verstöße als eingriffsschwächste Maßnahme vor, während lit. f) die Verhängung einer vorübergehenden oder endgültigen Beschränkung der Verarbeitung, einschließlich eines Verbots, ermöglicht (vgl. zum Vorstehenden: Sven Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 58 Rn. 6; vgl. auch: Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 58 Rn. 18 ff.; Nguyen, in: Gola/Heckmann, DS-GVO/BDSG, 3. Auflage, 2022, DS-GVO Art. 58 Rn. 14). Dass die Verwarnung das gegenüber der Anweisung mildere Mittel ist, ergibt sich auch daraus, dass die Verwarnung zwar einen Verwaltungsakt darstellt, aber – anders als die Anweisung – keine unmittelbare Rechtspflicht auslöst, die Verarbeitung abzustellen oder zu ändern. Wegen der beschränkten Feststellungswirkung ist sie auch nicht vollstreckbar und als solche nicht bußgeldbewehrt, sondern kann lediglich bei späterer Verhängung einer Anweisung wegen einer anderen Maßnahme als bußgelderhöhender Faktor berücksichtigt werden (vgl. Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 58 Rn. 20; Körffer, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 58 Rn. 18; Sven Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 58 Rn. 29). Demgegenüber ist die Anweisung vollstreckbar und nach Art. 83 Abs. 5 lit. e) DS-GVO im Falle ihrer Nichtbefolgung bußgeldbewehrt.

IV. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 Abs. 1 und 2 VwGO i.V.m. §§ 708 Nr. 11, 709 Satz 2 und 711 ZPO.

Der Wert des Streitgegenstandes wird gemäß §§ 39 ff., 52 f. des Gerichtskostengesetzes auf

5.000,00 Euro

festgesetzt.