Das deutsche Amtsgericht Mannheim bringt mit einem neuen Urteil, welches sich mit der gemeinsamen Verantwortlichkeit von Art. 26 DSGVO befasst, ein wenig Licht in ein Teilgebiet der DSGVO, über welches bisher wenig Klarheit herrschte. Im Urteil vom 11.09.2019 (5 C 1733/19 WEG) entschied das Amtsgericht, dass eine Immobilienverwaltung nicht alleinverantwortlich für die datenschutzrechtlichen Belange der Wohneigentümergemeinschaft ist, sondern eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht.
Dem Urteil zuvor erging eine Klage von Miteigentümern, welche die Ansicht vertraten, dass nur der beauftragte Verwalter im Rahmen seines Verwaltervertrages personenbezogene Daten erhebt und verwaltet und daher als Alleinverantwortlicher gesehen werden kann. Stein des Anstosses war ein Beschluss der Eigentümerversammlung, welcher statuierte, dass die Wohneigentümergemeinschaft für alle datenschutzrechtlichen Belange im Sinne der DSGVO verantwortlich sei. Die Beklagten stellten sich auf den Standpunkt, dass es die Aufgabe und das Recht der Wohnungseigentümer sei, bspw. Verbrauchsdaten zu erheben, und der Verwalter nur als Auftragsverarbeiter, bzw. allenfalls gemeinsam mit den Wohnungseigentümern als Mitverantwortlicher im Sinne der DSGVO gesehen werden kann.
Das Gericht führte aus, dass für die Bestimmung der Verantwortlichkeit allein massgeblich ist, wer die Entscheidungskompetenz innehat, über den Zweck und die Mittel personenbezogener Daten zu entscheiden. Dies trifft sowohl auf die Wohneigentümergemeinschaft, als auch auf die Immobilienverwaltung zu. Einerseits entscheidet die Wohneigentümergemeinschaft über das „Wie“ und das „Warum“ der Datenverarbeitung. Andererseits bestimmt der Verwalter in der Folge über das „Wie“ und das „Warum“ der Erhebung und Verarbeitung. Aufgrund dieser Argumentation kommt das Amtsgericht zum Schluss, dass eine gemeinsame Verantwortlichkeit nach Art. 26 Abs. 1 DSGVO besteht. Es verneint damit auch die Qualifikation des Verwalters als blosser Aufragsdatenverarbeiter. Denn die Leistungen, welche ein Verwalter im Rahmen seiner Tätigkeit erbringt, gehen über die blosse Datenverarbeitung hinaus.
Als Rechtsfolge der gemeinsamen Verantwortlichkeit folgt für die Beteiligten die Pflicht in einer transparenten Vereinbarung festzulegen, wer von ihnen in welchem Mass den Pflichtenkreis der DSGVO zum Schutz der betroffenen abdeckt. Formbedürftig ist der Vertrag nicht, jedoch muss nach Art. 5 Abs. 2 DSGVO der Nachweis des Vorliegens einer Vereinbarung geführt werden können. In der Vereinbarung muss insbesondere ersichtlich sein, wer welchen Informationspflichten gemäss den Art. 13 und Art. 14 nachkommt, und wie die Haftungsverhältnisse im Innenverhältnis geregelt sind. Im Aussenverhältnis haften die Mitverantwortlichen zu gleichen Teilen.
Quellen:
AG Mannheim, Urteil vom 11.09.2019 – 5 C 1733/19 WEG