Erlässt eine Datenschutzbehörde einen Bußgeldbescheid gegen ein Unternehmen, kann das Unternehmen sich auf zwei Gleisen gegen den Bescheid wehren. Zum einen steht es dem Unternehmen frei, Einspruch gegen das Bußgeld einzulegen. Über den Einspruch entscheidet dann – je nach Bußgeldhöhe – das zuständige Amts- oder Landgericht (§ 41 Abs. 1 Satz 3 BDSG). Zugleich kann das Unternehmen Feststellungsklage beim zuständigen Verwaltungsgericht erheben (§ 43 Abs. 1 VwGO). Eine solche (negative) Feststellungsklage wird durch das parallele Bußgeldverfahren nicht ausgeschlossen. Dies hat das OVG Bremen unlängst bestätigt (OVG Bremen vom 2.1.2025, 1 S 395/24).

Die umtriebige Datenschutzbehörde des Landes Bremen hatte gegen ein Unternehmen ein Bußgeld verhängt, weil das Unternehmen seine Mitarbeiter nicht dazu verpflichtet hatte, Corona-Impfzertifikate per E-Mail ausschließlich mit Transportverschlüsselung zu versenden. Dem Bußgeld lag eine anonyme Anzeige bei der Datenschutzbehörde zugrunde. Nähere Einzelheiten zum Sachverhalt sind der Entscheidung des OVG Bremen nicht zu entnehmen.

Art. 32 DSGVO verpflichtet den Datenverarbeiter zur Sicherheit der Verarbeitung. Unter welchen Umständen sich aus Art. 32 DSGVO Pflichten zur Verschlüsselung ableiten lassen, lässt sich der Norm ebenso wenig entnehmen wie nähere technische Anfoderungen an die Verschlüsselungstechnik. Gerichtliche Entscheidungen, die Klarheit schaffen, gibt es nicht. In der Kommentarliteratur findet sich zu Art. 32 DSGVO ein breites Meinungsspektrum.

Im November 2023 rief das betroffene Unternehmen das VG Bremen an mit einer als „vorbeugend“ bezeichneten Feststellungsklage, um klären zu lassen, ob ein Verstoß gegen die Verpflichtung zur Datensicherheit vorlag. „Schnee von gestern“, sagte das Verwaltungsgericht zunächst und zweifelte an einem Feststellungsinteresse. Es gehe um Vorgänge aus der Corona-Zeit. Und die liege bekanntlich „vollständig in der Vergangenheit“. Da mittlerweile jedoch ein Bußgeldbescheid der Bremer Datenschützer vorlag, hielt das klägerische Unternehmen an seiner Klage fest. Das VG Bremen wies die Klage dennoch als unzulässig ab. Der Streitgegenstand sei identisch mit dem inzwischen anhängigen Einspruchsverfahren gegen das Bußgeld. Die Zuständigkeitsbestimmungen des Bußgeldrechts (§§ 62 und 67 OWiG) ließen ein paralleles verwaltungsgerichtliches Streitverfahren nicht zu.

Damit hatte es sich das Verwaltungsgericht jedoch viel zu einfach gemacht. Das OVG Bremen hob die Entscheidung auf und erklärte die (negative) Feststellungsklage zurecht für zulässig, sodass das VG Bremen jetzt über die Begründetheit entscheiden muss und nicht umhin kommt, sich mit Art. 32 DSGVO intensiv zu beschäftigen. Denn nach der „Damokles-Rechtsprechung“ des BVerfG (BVerfG vom 7.4.2003, 1 BvR 2129/02) und des BVerwG ist ein laufendes Bußgeldverfahren kein Hindernis für eine verwaltungsgerichtliche Feststellungsklage. Ganz im Gegenteil begründet bereits ein laufendes Verfahren (auch ohne abschließenden Bescheid) ein Feststellungsinteresse, das eine Zulässigkeit der Klage nach § 43 Abs. 1 VwGO begründet. Denn niemanden (ob Unternehmer oder Privatperson) ist es zuzumuten, eine Rechtsfrage ausschließlich „von der Anklagebank“ aus zu führen – als Beschuldiger in einem Straf- oder Bußgeldverfahren (ausführlich Härting/Konrad, DSGVO im Praxistest 2020, Rn. 434 ff.).