Auf Grundlage des Gesetzes zur Umsetzung der Digitalisierungsrichtlinie (DiRUG) ist seit dem 1. August 2022 die Online-Plattform www.handelsregister.de verfüg- und abrufbar (weitere Informationen zur DiRUG finden Sie auch hier). Hierbei handelt es sich um ein gemeinsames Registerportal der deutschen Bundesländer, das es Interessierten erlaubt, Einträge im Handels-, Genossenschafts-, Partnerschafts- und Vereinsregister ohne Registrierung jederzeit einzusehen und zu speichern. Die zugrunde liegende Digitalisierungsrichtlinie (EU) 2019/1151 des Europäischen Parlaments und des Rates, deren Vorgaben der deutsche Gesetzgeber in nationales Recht umzusetzen hatte, verfolgt das Ziel, die Bereitstellung digitaler Lösungen für Gesellschaften im europäischen Binnenmarkt voranzubringen (ErwG 40). Der Richtlinie zufolge zählt „zu den Voraussetzungen für das wirksame Funktionieren, die Modernisierung und die administrative Optimierung eines wettbewerbsfähigen Binnenmarktes und die Sicherstellung der Wettbewerbsfähigkeit und Vertrauenswürdigkeit von Gesellschaften“ auch „die Bereitstellung umfassender, barrierefreier Informationen über Gesellschaften“ (ErwG 2).
Europäische Vorgabe, deutsche Umsetzung
Mit www.handelsregister.de soll dieses Vorhaben auf deutscher Seite verwirklicht werden. Entsprechend wurde das bisherige System der Bekanntmachungen von Registereinträgen umgestellt. Für die Publizitätswirkung kommt es nunmehr lediglich auf die erstmalige Abrufbarkeit von Eintragungen über das Registerportal an, während eine zusätzliche Bekanntmachung nicht mehr erforderlich ist. Der Datenabruf ist dabei kostenlos, was nach dem Gesetzentwurf zur weiteren Vereinfachung des Rechts- und Geschäftsverkehrs beiträgt.
Es hagelt Kritik
Zwar stellt eine nicht zugangsbeschränkte Online-Plattform, durch die sich Registerinformationen schnell und einfach ermitteln lassen, einen wichtigen Digitalisierungsschritt dar und dürfte grundsätzlich Erleichterungen im geschäftlichen Bereich mit sich bringen. Allerdings ist auch hier die konkrete Gestaltung von Relevanz. Und diese löste bereits zur Einführung des digitalen Registers Kritik aus, vor allem hinsichtlich der personenbezogenen Daten von Vertreter*innen von Unternehmen und anderen juristischen Personen, die durch die Plattform öffentlich zur Verfügung gestellt werden.
So wurde z. B. schon früh in einem Artikel von heise online (05.08.2022) darauf aufmerksam gemacht, dass im Registerportal auch Dokumente mit sensiblen, persönlichen Informationen, wie etwa Adress- und Geburtsdaten, sowie Bankverbindungen und Unterschriften frei abgerufen werden können und auf die Möglichkeit einer missbräuchlichen Nutzung dieser Daten verwiesen. Anschließend kam es zu einer verstärkten rechtswissenschaftlichen Auseinandersetzung – zuletzt im Dezember 2022 in einem Gutachten des Netzwerks Datenschutzexpertise. Darin wird festgestellt, „dass die Harmonisierung des Registerrechts mit dem Datenschutzrecht sowohl rechtlich als auch praktisch misslungen“ sei (S. 25). Gefordert wurde u. a. in Bezug auf den Datenschutz verbindliche technische und organisatorische Maßnahmen, um Missbrauchspotenziale einzugrenzen, die Löschung von nicht mehr erforderlichen Daten sowie ein Verzicht auf Informationen, die zur Personenidentifizierung keine Notwendigkeit haben.
Erfordernisse aus datenschutzrechtlicher Sicht
Damit stellt das Gutachten letztlich auf die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) auf dem Registerportal ab.
- Diese geben zum einen vor, dass jede Datenverarbeitung einer Rechtsgrundlage bedarf (Art. 5 Abs. 1 lit. a DSGVO). Im Rahmen der gesetzlichen Vorgabe, Registerinformationen öffentlich in dem Online-Portal bereitzustellen, ergibt sich diese aus Art. 6 Abs. 1 lit. e DSGVO (Datenverarbeitung aufgrund der Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt). Allerdings muss die konkret geltende rechtliche Norm bekannt sein bzw. ermittelt werden, um den Umfang der legitimen Datenverarbeitung feststellen zu können. Berücksichtigt werden muss, dass Art. 6 Abs. 1 lit. e DSGVO die Erforderlichkeit einer Datenverarbeitung voraussetzt und keine darüberhinausgehenden Verarbeitungen umfasst.
- Des Weiteren müssen personenbezogene Daten transparent und nach Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) verarbeitet werden. Auch sind die Prinzipien der Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO), Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO), Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) sowie Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO) einzuhalten. Hierbei gilt es dem Umstand Rechnung zu tragen, dass die Daten im Internet veröffentlicht werden und keine Kontrolle über die anschließende Verwendung besteht, weshalb strenge Maßstäbe anzulegen sind.
Wer ist verantwortlich?
Zudem ist – insbesondere im Hinblick auf die Geltendmachung von Betroffenenrechten – von hoher Relevanz, wer Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO) bei diesem Registerportal ist. In einem weiteren Bericht von heise online (18.11.2022) heißt es, das nordrhein-westfälischen Justizministerium (in dessen Zuständigkeit das Portal liegt) habe auf Anfrage mitgeteilt, für die darin verarbeiteten Daten seien die Registergerichte verantwortlich. Für betroffene Personen bestehe die Möglichkeit, einen Antrag zum Austausch von Dokumenten mit sensiblen Daten bei Gericht zu stellen. Zudem könne der*die jeweilige Notar*in die Dokumente, welche die Gerichte im Portal eingestellt haben, in vielen Fällen auch ohne sensible Informationen gestalten.
Das o. g. Gutachten des Netzwerks Datenschutzexpertise kommt in Bezug auf die Verantwortlichkeiten zu einem anderen Ergebnis: Es stellt eine gemeinsame datenschutzrechtliche Verantwortlichkeit (Art. 26 DSGVO) des nordrhein-westfälischen Justizministeriums mit den datenliefernden Gerichten fest, sodass sich Betroffene an beide Stellen wenden könnten, um Rechte geltend zu machen. Auch seien Notar*innen nicht für die Veröffentlichung von Dokumenten im Portal verantwortlich. Registergerichten sei zumutbar, die durch sie übermittelten, nicht erforderlichen, sensiblen Daten bspw. vor Veröffentlichung zu schwärzen.
Umstritten und doch im Einsatz
Trotz der vielen Kritikpunkte wurde die Website www.handelsregister.de nicht abgeschaltet – auch nicht kurzfristig. Allerdings hat das Bundesministerium der Justiz (BMJ) auf die Berichte in den Medien reagiert und in einer Pressemitteilung vom 22.12.2022 eine Änderung der Handelsregisterordnung (HVR) angekündigt, die am 23.12.2022 in Kraft getreten ist. So wurde u. a. rechtlich verankert, dass nur Dokumente in das digitale Handelsregister aufgenommen werden sollen, bei denen dies aufgrund besonderer gesetzlicher Vorgaben vorgeschrieben ist und es zu keiner Aufnahme von Erbscheinen, Erbverträgen, öffentlichen Testamenten, Europäischen Nachlasszeugnissen und sonstigen Dokumenten kommen soll, bei denen eine Einreichung gemäß § 12 Abs. 1 S. 5 HGB erfolgt. Des Weiteren existieren nun Regelungen bzgl. der Möglichkeit eines Dokumentenaustauschs. Sofern ein Dokument nicht erforderliche Informationen enthält, kann es gegen ein neu eingereichtes ohne die entsprechenden Angaben ausgetauscht werden, während das alte Dokument für den Abruf gesperrt wird. Darüber hinaus plant das Ministerium laut Pressemitteilung weitere Maßnahmen zum Datenschutz.
Fraglich ist, inwiefern Nachbesserungen tatsächlich zeitnah erwirkt werden können. Bis dahin ist betroffenen Personen, von denen Dokumente mit sensiblen Daten frei abrufbar sind, zu raten, selbst aktiv zu werden und bspw. von der Tauschmöglichkeit Gebrauch zu machen.
Indes zeigen die aktuellen Warnhinweise auf www.handelsregister.de die Probleme des Registerportals deutlich auf (siehe Screenshot vom 09.01.2023), denn aufgrund von „Massenabrufern“ kommt es momentan in allen Bundesländern zu Abrufproblemen. Unter Statushinweise heißt es hierzu: „Im Registerportal kann es phasenweise lastbedingt und aufgrund missbräuchlicher Abrufe zu hohen Wartezeiten bzw. Abbrüchen beim Aufbau der Webseiten kommen. Wir bitten Sie, Ihre Anfragen in dem Fall zu einem späteren Zeitpunkt zu wiederholen oder sich in dringenden Fällen an das zuständige Registergericht zu wenden.“
Hinweis der Redaktion: Im ersten Aufzählungspunkt hatte sich ein Fehler eingeschlichen, diesen haben wir korrigiert. (Update: 12.01.2023)