Entscheidungsgründe

Die Berufung ist gemäß §§ 143 ff SGG form- und fristgemäß eingelegt worden und auch im Übrigen zulässig. Sie ist aber unbegründet. Der Gerichtsbescheid des SG Oldenburg vom 20. September 2021 ist nicht zu beanstanden.

Die Klage ist zulässig. Für Streitigkeiten zwischen einer natürlichen oder juristischen Person und dem oder der Bundesbeauftragten oder der nach Landesrecht für die Kontrolle des Datenschutzes zuständigen Stelle gemäß Artikel 78 Absatz 1 und 2 der Verordnung (EU) 2016/679 aufgrund der Verarbeitung von Sozialdaten im Zusammenhang mit einer Angelegenheit nach § 51 Absatz 1 und 2 des Sozialgerichtsgesetzes ist gemäß § 81a Abs 1 Satz 1 Sozialgesetzbuch Zehntes Buch (SGB X) der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet. Vorliegend rügt der Kläger eine Datenschutzverletzung im Zusammenhang mit einer krankenversicherungsrechtlichen Angelegenheit (§ 51 Abs 1 Nr 2 SGG). Ein Vorverfahren findet gemäß § 81a Abs 6 SGB X nicht statt.

Die Klage ist jedoch unbegründet. Der Bescheid vom 10. Mai 2021 ist rechtmäßig. Der Kläger hat keinen Anspruch auf ein weitergehendes Tätigwerden des Beklagten. In Betracht kommende Rechtgrundlage ist Art 57 Abs 1f DSGVO iVm Art 77 DSGVO, die § 14 Abs 1 Satz 6 BDSG als mögliche in Betracht kommende nationale Vorschrift verdrängt (§ 1 Abs 5 BDSG). Hiernach hat jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt (Art 77 Abs 1 DSGVO). Dabei muss sich jede Aufsichtsbehörde mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist (Art 57 Abs 1f DSGVO). Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78 (Art 77 Abs 2 DSGVO).

Zur Überzeugung des Senats ergibt sich aus diesen Rechtsnormen nicht lediglich ein petitionsähnliches Recht in dem Sinne, dass die Behörde sich mit der Beschwerde befasst, den Beschwerdegegenstand untersucht und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet (so ua aber Oberverwaltungsgericht - OVG - Rheinland-Pfalz, Urteil vom 26. Oktober 2020 - 10 A 10613/20; Verwaltungsgerichtshof - VGH - Baden-Württemberg, Urteil vom 22. Januar 2020 - 1 S 3001/19 Rn 51; SG Frankfurt (Oder) Gerichtsbescheid vom 8. Mai 2019 - S 49 SF 8/19 DS), sondern es besteht ein Anspruch auf ermessenfehlerfreie Entscheidung durch den Beklagten (ebenso wohl: Bundessozialgericht - BSG - , Urteil vom 20. Januar 2021 - B 1 KR 15/20 R, juris Rn 111; außerdem Hamburgisches OVG, Urteile vom 7. Oktober 2019 - 5 Bf 291/17, juris Rn 63 ff und 5 Bf 279/17, juris Rn 63 ff;VG Schwerin, Urteil vom 16. März 2021 - 1 A 1254/20 SN Rn 65 ff; Verwaltungsgericht - VG Ansbach, Urteil vom 16. März 2020 - An 14 K 19.00464 Rn 19; VG Mainz, Urteil vom 16. Januar 2020 - 1 K 129/19.MZ Rn 27 und vom 22. Juli 2020 - 1 K 473/19.MZ, Rn 20, 23). Dies ergibt sich bereits aus Art 78 Abs 1 DSGVO, wonach jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat. Art 78 Abs 1 DS-GVO spricht zwar von "Beschlüssen", da aber die Aufsichtsbehörden keine Unionsorgane sind, wird davon jede der Bestandskraft fähige Entscheidung und damit auch Verwaltungsakte erfasst (Schütze/Bieresborn, 9. Aufl 2020, SGB X § 81a Rn 8). Auch die Erwägungsgründe 141 Satz 1 und 143 Satz 4 und 5 der DSGVO sprechen davon, dass im Falle einer Ablehnung bzw Abweisung ein wirksamer gerichtlicher Rechtsschutz möglich sein muss. Für ein solches Verständnis dürfte auch die in Erwägungsgrund 11 erklärte Zielsetzung einer "Stärkung" und "präzisen Festlegung" der Rechte der betroffenen Personen durch die DSGVO sprechen (Hamburgisches OVG, Urteil vom 7. Oktober 2019 - 5 Bf 291/17 -, juris Rn 75). Mit einem solchen effektiven Rechtsschutz verträgt sich die Annahme eines petitionsähnlichen Rechts, das lediglich eine rudimentäre gerichtliche Überprüfbarkeit zulässt, nicht (VG Hamburg, Urteil vom 1. Juni 2021 - 17 K 2977/19 Rn 47; Halder/Heß, jurisPR-ITR 14/2021 Anm 6).

Soweit in der Rechtsprechung teilweise vertreten wird, dass aus Art 78 Abs 2 DSGVO folge, dass ein Beschwerdeführer nur beanspruchen kann, dass sich die Aufsichtsbehörde mit seiner Beschwerde überhaupt befasse und ihn innerhalb der dort genannten Zeiträume über den Stand und das Ergebnis der Beschwerde unterrichte (OVG Rheinland-Pfalz aaO, juris Rn 37), teilt der Senat diese Einschätzung nicht. Denn bei Art 78 Abs 1 DSGVO einerseits und Art 78 Abs 2 DSGVO andererseits handelt es sich um zwei unterschiedliche Rechtsbehelfe. Während Art 78 Abs 2 DSGVO als Untätigkeitsklage ausgestaltet ist und sich darauf richtet, dass die Behörde überhaupt tätig wird, garantiert Art 78 Abs 1 DSGVO gerichtlichen Rechtsschutz gegen die getroffene Entscheidung selbst (Gola/Heckmann/Pötters/Werkmeister, 3. Aufl 2022, DS-GVO Art 78 Rn 2). Dies spiegelt sich auch im Erwägungsgrund 141 wider, der gerichtlichen Rechtsschutz vorsieht sowohl, wenn die Aufsichtsbehörde nicht tätig wird, als auch, wenn diese eine Beschwerde teilweise oder ganz abweist oder ablehnt. Die Differenzierung spricht gerade dafür, dass sich der Rechtsschutz nach Art 78 Abs 1 DSGVO nicht darauf beschränken kann, dass die Behörde sich mit der Beschwerde befasst, gleich, welchen Inhalts dieses Befassen ist. Anderenfalls hätte die Norm praktisch keinen über den Art 78 Abs 2 DSGVO hinausgehenden Inhalt.

Etwas Anderes ergibt sich schließlich auch nicht in Abgrenzung zu Art 79 DSGVO, der gerichtlichen Rechtsschutz gegen den Verantwortlichen selbst regelt. Soweit hier argumentiert wird, dass es sich bei dem Verfahren nach Art 79 DSGVO um ein kontradiktorisches Verfahren handele, das zwischen den Beteiligten rechtsverbindlich kläre, ob der Betroffene durch einen datenschutzrechtlichen Verstoß des Verantwortlichen in subjektiven Rechten verletzt sei (OVG Rheinland-Pfalz aaO, juris Rn 42), gilt im Ergebnis auch für die Beschwerde nach Art 77 DSGVO und dem folgend für die Klage nach Art 78 Abs 1 DSGVO nichts Anderes. Auch diese lassen nicht jeglichen datenschutzrechtlichen Verstoß genügen, sondern beschränken das Beschwerderecht auf betroffene Personen und Verstöße bei der Verarbeitung der sie betreffenden personenbezogenen Daten. Im gerichtlichen Verfahren gelten die zu § 42 Abs 2 Verwaltungsgerichtsordnung (VwGO) entwickelten Grundsätze (Gola/Heckmann/Pötters/Werkmeister, 3. Aufl 2022, DS-GVO Art 78 Rn 10).

Vorliegend sind Ermessenfehler des Beklagten jedoch nicht ansatzweise ersichtlich. Nach Art 57 Abs 1a DSGVO hat die Aufsichtsbehörde die Anwendung der Datenschutzgrundverordnung zu überwachen und durchzusetzen. Hierzu verfügt sie über die in Art 58 DSGVO geregelten Untersuchungs-, Abhilfe-, Genehmigungs- und beratende Befugnisse. Ihr ist es im Rahmen der ihr zur Verfügung stehenden Abhilfebefugnisse nach Art 58 Abs 2 DSGVO insbesondere gestattet, eine Verwarnung auszusprechen (Buchst b), eine vorübergehende oder endgültige Beschränkung der Verarbeitung, insbesondere ein Verbot, zu verhängen (Buchst f) sowie die Löschung von personenbezogenen Daten anzuordnen (Buchst g). Der Aufsichtsbehörde steht dabei sowohl ein Entschließungs- als auch ein Auswahlermessen zu (VG Hamburg, Urteil vom 1. Juni 2021 - 17 K 2977/19 -, juris Rn 58; Sydow, DSGVO, 2. Aufl 2018, Art 77 Rn 37; Ehmann/Selmayr/Nemitz, DSGVO, 2. Aufl 2018, Art 77 Rn 17; Ehmann/Selmayr/Selmayr, DSGVO, 2. Aufl 2018, Art 58 Rn 18; BeckOK DatenschutzR/Mundil, 35. ED 1. Februar 2020, DS-GVO Art 77 Rn 15). Stellt die Aufsichtsbehörde einen Verstoß gegen die Datenschutzgrundverordnung fest, wird ihr Entschließungsermessen angesichts ihrer sich aus Art 57 Abs 1a DSGVO ergebenden Verpflichtung, die Anwendung der Datenschutzgrundverordnung durchzusetzen, regelmäßig dahingehend reduziert sein, von ihren Abhilfebefugnissen nach Art 58 Abs 2 DSGVO Gebrauch zu machen bzw mit dem Ziel der Abstellung des Verstoßes vorzugehen (VG Hamburg, Urteil vom 1. Juni 2021 - 17 K 2977/19 -, juris Rn 59; so auch BeckOK DatenschutzR/Mundil, 35. ED 1. Februar 2020, DS-GVO Art 77 Rn 15). Im Bereich des Auswahlermessens steht der Behörde demgegenüber ein weiter Spielraum zu. Ein bestimmtes behördliches Handeln kann regelmäßig nicht verlangt werden (Halder/Heß, jurisPR-ITR 14/2021 Anm 6 mwN; BeckOK DatenschutzR/Mundil, 42. Ed 1. November 2021, DS-GVO Art 78 Rn 7).

Der Beklagte hat in Bezug auf die vom Kläger monierten Falschauskünfte der K. K eine Datenschutzverletzung zu Recht verneint. Zwar müssen gemäß Art 5 Abs 1d DSGVO personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden ("Richtigkeit"). Dabei sind personenbezogene Daten neben Identifikationsmerkmalen (zB Name, Anschrift und Geburtsdatum), äußeren Merkmalen (wie Geschlecht, Augenfarbe, Größe und Gewicht) und inneren Zuständen (zB Meinungen, Motive, Wünsche, Überzeugungen und Werturteile) auch sachliche Informationen wie Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt (BeckOK DatenschutzR/Schild, 42. Ed 1. November 2022, DS-GVO Art 4 Rn 3). Auch der Krankenversicherungsstatus zählt somit dazu, was ergänzend auch in § 67 Abs 2 SGB X bestimmt ist. "Verarbeitung" ist gemäß Art 4 Nr 2 DSGVO unter Anderem auch die Offenlegung durch Übermittlung. Gemäß Art 16 Satz 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Allerdings steht der Versicherungsstatus des Klägers bei der K. K vorliegend gerade im Streit. Hieran ändert auch das Obsiegen des Klägers im Eilverfahren S 61 KR 16/20 ER nichts, in dem zum einen lediglich über einen Ruhensbescheid entschieden wurde und das im Übrigen in der Hauptsache zumindest zum Zeitpunkt der hier in Rede stehenden Auskünfte noch nicht abgeschlossen war. Dass der Beklagte eine Entscheidung hierüber nicht durch eine inzidente Prüfung vorwegnehmen konnte und durfte, hat dieser vollkommen zutreffend festgestellt.

Eine Datenschutzverletzung war entgegen der Auffassung des Klägers auch nicht darin zu erblicken, dass die K. K überhaupt gegenüber der Zahnarztpraxis Angaben zum Versicherungsstatus des Klägers gemacht hatte. Personenbezogene Daten müssen gemäß Art 5 Abs 1 a DSGVO auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz"). Die Verarbeitung ist dabei gemäß Art 6 Abs 1 DSGVO nur rechtmäßig, wenn eine der dort genannten Bedingungen erfüllt ist. Hierzu zählt unter anderem die Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt (Buchstabe c). Gemäß § 284 Abs 1 Nr 4 SGB V, der eine spezifische Regelung gemäß der Öffnungsklausel in Art 6 Abs 2 und 3 DSGVO darstellt (siehe hierzu Fromm in: Schlegel/Voelzke, jurisPK-SGB X, 2. Aufl, § 67 SGB X 1. Überarbeitung [Stand: 5. Mai 2022], Rn 22) dürfen Krankenkassen Sozialdaten für Zwecke der Krankenversicherung erheben und speichern, soweit diese für die Prüfung der Leistungspflicht und der Erbringung von Leistungen an Versicherte einschließlich der Voraussetzungen von Leistungsbeschränkungen, die Bestimmung des Zuzahlungsstatus und die Durchführung der Verfahren bei Kostenerstattung, Beitragsrückzahlung und der Ermittlung der Belastungsgrenze erforderlich sind. In Bezug auf die vom Kläger angestrebte Zahnbehandlung durfte eine Kommunikation mit dem ausgewählten Leistungserbringer über den für den Leistungsanspruch maßgeblichen Versicherungsstatus somit erfolgen.

Schließlich hat der Senat auch hinsichtlich der Erwähnung des Schreibens vom 12. Januar 2021 gegenüber der Zahnarztpraxis erhebliche Zweifel daran, dass es überhaupt zu einer Datenschutzverletzung gekommen ist. Dass der dort thematisierte, vom Kläger geltend gemachte Schadensersatzanspruch der Praxis gegenüber nicht offengelegt werden durfte, steht außer Frage. Die K. K ist in der von ihr vorgenommenen, umfangreichen Aufarbeitung des Vorfalls jedoch zu dem Ergebnis gelangt, dass in dem fraglichen Telefonat vom 14. Januar 2021 überhaupt nicht inhaltlich auf das Schreiben eingegangen worden ist. Etwas Anderes ergibt sich auch nicht aus der Mail der Praxis vom 14. Januar 2021 selbst, in der lediglich erklärt wird, der Kläger habe nach Aussage der K. K "am 12.01.2021 auch nochmal ein Schreiben der K. KK bekommen". Da dieses Schreiben neben dem geltend gemachten Schadensersatz auch auf die beantragten - von der Praxis zu erbringenden - Suprakonstruktionen eingeht, bestehen gegen die Erwähnung dieser Thematik keine Bedenken, geschweige denn gegen die bloße Erwähnung der Existenz eines solchen Schreibens. Da die K. K jedoch selbst - möglicherweise vorsorglich und unter besonderer Sensibilität für die ihr anvertrauten Versichertendaten - einen Datenschutzverstoß angenommen hat, ist der Beklagte jedenfalls in ermessenfehlerfreier Weise zu dem Ergebnis gelangt, dass von aufsichtsrechtlichen Maßnahmen abgesehen werden könne. Denn die K. K hatte ihren eigenen Datenschutzbeauftragten bereits eingeschaltet, die möglichen und vom Kläger geforderten Maßnahmen - Verhängung eines Verwertungsverbots gegenüber der Zahnarztpraxis und Anweisung der Löschung der erhaltenen Daten - akribisch selbst durchgeführt und damit nicht nur zum Ausdruck gebracht, dass sie einen Datenschutzverstoß gesehen hatte, sondern dessen Folgen auch gleich bestmöglich beseitigt. Sie hat dem Kläger dabei umfänglich Rede und Antwort gestanden und ihn über sämtliche Schritte ausführlich unterrichtet. Die Entscheidung des Beklagten, aus diesem Grunde nicht weiter tätig zu werden, überschritt das ihm eingeräumte Ermessen daher unter keinem denkbaren Gesichtspunkt.

Soweit der Kläger im Berufungsverfahren weitere Datenschutzverstöße der K. K im Oktober/November 2019 und durch erneute Kontaktierung der Zahnarztpraxis im Zusammenhang mit der Aufarbeitung des Telefonats vom 14. Januar 2021 geltend macht, sind diese zum einen nicht streitgegenständlich. Zum anderen ist aber auch nicht ersichtlich, inwieweit es der K. K vorzuwerfen sein sollte, wenn sie sich in Bezug auf einen Leistungsantrag an die Zahnarztpraxis des Klägers wendet, die dieser nach eigenen Angaben selbst mit der Beantragung der Zahnbehandlung beauftragt hatte (vgl zur auch im Sozialrecht geltenden Anscheinsvollmacht: BSG vom 15. November 2016 - B 2 U 19/15 R - SozR 4-2700 § 131 Nr 2 RdNr 15 mwN) oder wenn sie der Zahnarztpraxis wunschgemäß ein Verwertungsverbot ausspricht und einen Versicherungstatus bestätigt. Die gesamte Verwaltungsakte ist davon durchzogen, dass der Kläger die beteiligten Personen - Zahnarztpraxis, K. K, Beklagten - immer wieder zum Tätigwerden für ihn auffordert, um die eingeforderten Aktionen sodann datenschutzrechtlich gegen sie zu verwenden. Dies ist nicht Sinn und Zweck der durch die DSGVO verbürgten Schutzzwecke.

Die Kostenentscheidung beruht auf § 197a Abs 1 SGG. Der Senat kann insoweit auch die Kostenentscheidungen des SG zu Ungunsten des Klägers ändern, denn das Verbot der reformatio in peius gilt hier nicht (BSG, Urteil vom 5. Oktober 2006 - B 10 LW 5/05 R -, BSGE 97, 153-158, SozR 4-1500 § 183 Nr 4, SozR 4-1930 § 116 Nr 4, SozR 4-1920 § 63 Nr 1, Rn 20; BSGE 62, 131, 136 = SozR 4100 § 141b Nr 40). Der Kläger ist vor der Entscheidung auf diese Möglichkeit hingewiesen worden.

Die garantierte Kostenfreiheit des Beschwerdeverfahrens (Art 57 Abs 3 DSGVO) gilt nach den Grundsätzen der DS-GVO nicht für das Gerichtsverfahren (Kühling/Buchner/Bergt DS-GVO, 3. Aufl 2020, Art 78 Rn 25). Für Streitigkeiten im Sinne des § 81a Abs 1 SGB X ist mangels Vorhandenseins spezieller Regelungen vielmehr das SGG anzuwenden (§ 81a Abs 2 SGB X). Nach § 197a Abs 1 SGG sind Kosten nach dem GKG zu erheben und die §§ 154 bis 162 VwGO anzuwenden, wenn in einem Rechtszug weder der Kläger noch der Beklagte zum Kreis der in § 183 SGG genannten Personen gehört. Dies ist hier der Fall. Nach Maßgabe des § 183 Satz 1 SGG ist das Verfahren vor den Gerichten der Sozialgerichtsbarkeit für Versicherte, Leistungsempfänger einschließlich Hinterbliebenenleistungsempfänger, behinderte Menschen oder deren Sonderrechtsnachfolger nach § 56 des Ersten Buches Sozialgesetzbuch kostenfrei, soweit sie in dieser jeweiligen Eigenschaft als Kläger oder Beklagte beteiligt sind. Vorliegend ist der Kläger zwar Versicherter bei der K. K, er klagt jedoch gerade nicht in dieser Eigenschaft, sondern richtet sich gegen den - nicht in einem Versicherungsverhältnis zu ihm stehenden - beklagten Datenschutzbeauftragten. Auch in der Sache macht er keine Ansprüche aus seinem Sozialleistungsverhältnis geltend, sondern Ansprüche aus der DSGVO auf ein hoheitliches Einschreiten (LSG Baden-Württemberg, Beschluss vom 16. November 2021 - L 1 SF 2777/21 DS; Schütze/Bieresborn, 9. Aufl 2020, SGB X § 81a Rn 23). Als unterliegendem Beteiligten waren ihm die Kosten beider Rechtszüge gemäß § 154 Abs 1 und 2 VwGO aufzuerlegen.

Ein gesetzlicher Grund zur Zulassung der Revision ist nicht gegeben (§ 160 Abs 2 SGG).

Die Streitwertfestsetzung beruht auf § 197a Abs 1 Satz 1 SGG iVm §§ 47 Abs 1 und 2, 52 Abs 1 und 3 Gerichtskostengesetz (GKG). Mangels hinreichender Anhaltspunkte auf die wirtschaftliche Bedeutung des Streitgegenstandes für den Kläger, war der Auffangstreitwert von 5.000,- Euro anzunehmen (§ 52 Abs 2 GKG).