Apropos Türchen: der BayLfD zum „Doppeltürmodell“

Um etwaige Vorfreude direkt zu dämpfen: Nein, der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) spricht sich nicht für ein Doppeltürchen für jeden Tag des Adventskalenders aus.

Im aktuellen Tätigkeitsbericht des BayLfD befasst sich dieser mit der Übermittlung von Sozialdaten eines Jobcenters an eine kommunale Ausländerbehörde (siehe Punkt 4.2).

Die Ausgangslage

Eine bayerische Kommune fragte gegenüber dem BayLfD, welche Sozialdaten eine Ausländerbehörde bei einem Jobcenter erheben bzw. welche Daten das Jobcenter an die Ausländerbehörde übermitteln darf. Die kommunale Ausländerbehörde benötigt die Daten zum Zweck der Aufgabenerfüllung, da die Sozialleistungsbezüge der betroffenen Personen aufenthaltsrechtlich relevant sein können.

Das Jobcenter vertrat die Auffassung, dass lediglich die Tatsache der Leistungsgewährung übermittelt werden darf. Die anfragende Kommune argumentierte hingegen, dass auch die Art, Höhe und Dauer der Leistungen erforderlich seien.

Rechtliche Bewertung des BayLfD

Die Argumentation der anfragenden Kommune stützte sich auf § 71 Abs. 2 Zehntes Buch Sozialgesetzbuch (SGB X) und § 87 Abs. 1 Gesetz über den Aufenthalt, die Erwerbstätigkeit und die Integration von Ausländern im Bundesgebiet (AufenthG). Diese Übermittlungstatbestände regeln den Transfer von bestimmten Sozialdaten eines Ausländers, sofern diese Daten im Einzelfall auf Ersuchen der mit der Ausführung des Aufenthaltsgesetzes betrauten Behörde z. B. für die Entscheidung über den Aufenthalt des Ausländers oder die Erfüllung von Mitteilungspflichten nach dem AufenthG, erforderlich sind. Die Befugnis zur Datenerhebung durch die Ausländerbehörde regelt § 86 AufenthG.

Bei der rechtlichen Regelung eines Datentransfers zur Erfüllung öffentlicher Aufgaben – so der BayLfD – ist gemäß der Rechtsprechung des Bundesverfassungsgerichts das sog. „Doppeltürmodell“ zu beachten. Dieses Modell unterscheidet zwischen der Übermittlung von Daten durch die auskunfterteilende Stelle und dem Abruf der Daten durch die auskunftersuchende Stelle. Sowohl für die Abfrage als auch die Übermittlung der betreffenden Daten ist eine eigene Rechtsgrundlage erforderlich.

Wer darf also was fordern und wer muss was herausgeben?

Die hier betroffene Ausländerbehörde führt die EU-Freizügigkeitsrichtlinie an. Darin heißt es in Erwägungsgrund 16:

„Der Aufnahmemitgliedstaat sollte prüfen, ob es sich bei dem betreffenden Fall um vorübergehende Schwierigkeiten handelt, und die Dauer des Aufenthalts, die persönlichen Umstände und den gewährten Sozialhilfebetrag berücksichtigen, um zu beurteilen, ob der Leistungsempfänger die Sozialhilfeleistungen unangemessen in Anspruch genommen hat, und in diesem Fall seine Ausweisung zu veranlassen.“ (Hervorhebungen durch die Autorin)

Aus Sicht der Ausländerbehörde seien also die Modalitäten der Inanspruchnahme von Sozialhilfeleistungen zu berücksichtigen, somit nicht nur das „Ob“, sondern auch das „Wie“.

Auch wenn der BayLfD aufgrund des Erforderlichkeitskriteriums in § 86 S. 1 AufenthG grundsätzlich keine datenschutzrechtlichen Bedenken gegen diese Sichtweise habe, verweist er auf die hier maßgebliche Frage: Wer ist für die Datenübermittlung verantwortlich? Dies sei gemäß § 67d Abs. 1 Satz 1 SGB X grundsätzlich die übermittelnde Stelle. Dies gehe auch aus der Allgemeinen Verwaltungsvorschrift zum Aufenthaltsgesetz (AufenthGAVwV) hervor, welche in Nr. 87.1.1.5 angibt:

„Ist zwischen der Ausländerbehörde und der übermittelnden Stelle streitig, ob die Übermittlung rechtmäßig ist, so ist die Auffassung jeder Seite insoweit maßgebend, als sie die Verantwortung für die Rechtmäßigkeit der Übermittlung trägt (vgl. Nummer 87.1.4.1). Im Zweifel ist die Entscheidung der gemeinsamen Aufsichtsbehörde herbeizuführen. Fehlt eine derartige gemeinsame Aufsichtsbehörde, hat die Ausländerbehörde die Entscheidung der obersten Landesbehörde herbeizuführen.“ (Hervorhebungen durch die Autorin)

Im Streitfall sei demnach maßgeblich, wer für die Rechtmäßigkeit der Datenübermittlung verantwortlich ist. Dies ist – auch nach dieser Argumentation – die übermittelnde Stelle (§ 67d SGB X). Mangels einer gemeinsamen Aufsichtsbehörde – das Jobcenter ist als öffentliche Stelle des Bundes anzusehen (§ 44b Abs. 1 S. 1 SGB II) – müsse sich die kommunale Ausländerbehörde zur Klärung der Frage an die oberste Landesbehörde wenden.

Fazit

Der BayLfD empfiehlt bei der Datenübermittlung zwischen zwei verantwortlichen Stellen das Doppeltürmodell zu berücksichtigen und sauber zu prüfen, wem die Verantwortung im Rahmen der Datenübermittlung und eine entsprechende Entscheidungskompetenz zukommt.

In der täglichen Praxis hat das Doppeltürmodell vor allem Relevanz bei der Datenabfrage bzw. Auskunftsanforderung durch Polizeibehörden. Bzgl. der umstrittenen Frage, ob z. B. bereits eine behördliche Anordnung der Übermittlung personenbezogener Daten als solche ein hinreichender Verarbeitungsgrund gemäß Art. 6 Abs. 1 lit. c DSGVO sein kann, auf den sich die angefragte Stelle stützen kann, wird in der juristischen Literatur z. B. ausgeführt:

„EG 45 stellt klar, dass Abs. 1 lit. c selbst keine Rechtsgrundlage für eine Datenverarbeitung bietet, sondern eine Rechtsvorschrift voraussetzt, die eine entsprechende rechtliche Verarbeitungsverpflichtung auslöst. Die Vorschrift entspricht inhaltlich dem deutschen Verfassungsrecht, wonach im Grundsatz jeder Verarbeitungsschritt ein legitimationsbedürftiger Grundrechtseingriff ist. Danach ist nicht nur die behördliche Datenerhebung, sondern auch die Datenübermittlung an eine Behörde ein rechtfertigungsbedürftiger Verarbeitungsschritt. Bildlich gesprochen muss der Gesetzgeber von Verfassung wegen nicht nur die Tür zur Datenabfrage (Datenerhebung) öffnen, sondern auch die Tür zur Übermittlung von Daten (Doppeltürmodell). Dieses Modell ist nach richtiger Auffassung auch auf Datenübermittlungen durch private Dienstleistungsunternehmen an Behörden aufgrund einer behördlichen Anordnung anzuwenden (Rn. 78). Vergleichbare Anforderungen gelten aufgrund von Art. 6 Abs. 1 UAbs. 2 auch für Behörden, die Anfragen Privater beantworten: Es genügt nicht, dass der anfragende Private iSd Art. 6 Abs. 1 lit. f ein berechtigtes Interesse am Erhalt der begehrten personenbezogenen Daten darlegt, die Behörde muss vielmehr aufgrund einer hinreichend bestimmten gesetzlichen Verarbeitungsgrundlage auch zu einer entsprechenden Datenübermittlung berechtigt und verpflichtet sein (Rn. 82, 111).“ (Kühling/Buchner/Buchner/Petri, 4. Aufl. 2024, DS-GVO Art. 6 Rn. 79, beck-online, Hervorhebungen durch die Autorin)

Betroffene Verantwortliche sollten bei Auskunftsanfragen durch externe Stellen mit dem*der Datenschutzbeauftragten die eigene Übermittlungsbefugnis prüfen und keine vermeintlich unproblematische Berechtigung zur Datenoffenlegung aus z. B. einer behördlichen Anordnung ziehen. Bei konkretem Unterstützungsbedarf können Sie sich gern an uns wenden.