6 C 2/18

Die zulässige Revision der Klägerin ist nicht begründet. Das angefochtene Urteil verstößt nicht gegen Bundesrecht (§ 137 Abs. 1 Nr. 1 VwGO). Das Oberverwaltungsgericht hat zutreffend angenommen, dass die selbständig anfechtbare Anordnung der Beklagten, den für Besucher zugänglichen Bereich der Zahnarztpraxis durch eine entsprechende Ausrichtung der Digitalkamera von der Beobachtung durch ein Kamera-Monitor-System auszunehmen, von § 38 Abs. 5 Satz 1 i.V.m. § 6b Abs. 1 des Bundesdatenschutzgesetzes in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), hier anwendbar in der Fassung von Art. 1 Nr. 15 des Gesetzes zur Änderung datenschutzrechtlicher Vorschriften vom 14. August 2009 (BGBl. I S. 2814) - BDSG a.F. -, gedeckt ist.

Maßgeblicher Zeitpunkt für die Beurteilung der Rechtmäßigkeit dieser Anordnung ist der Zeitpunkt des Erlasses des Widerspruchsbescheids; damit hängt die Entscheidung über die Revision von dem damals geltenden Datenschutzrecht ab (1.). Die Beobachtung des Besuchern zugänglichen Bereichs der Zahnarztpraxis stellt eine Videoüberwachung im Sinne des § 6b Abs. 1 BDSG a.F. dar (2.). Nach dieser Bestimmung ist die Beobachtung unzulässig, weil sie nicht erforderlich ist, um berechtigte Interessen der Klägerin zu wahren. Daran anknüpfend hat die Beklagte der Klägerin ermessensfehlerfrei eine andere Ausrichtung der Kamera aufgegeben (3.). Aufgrund des Beurteilungszeitpunkts ist die streitbefangene Anordnung nicht an der Verordnung (EU) Nr. 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 S. 1) - DSGVO - zu messen, die während des Revisionsverfahrens Geltung erlangt hat (4.). Ungeachtet dessen wäre die Videoüberwachung auch nach dieser Verordnung unzulässig (5.).

1.a) Die Beklagte hat die streitbefangene Anordnung auf § 38 Abs. 5 Satz 1 BDSG a.F. gestützt; dieses Gesetz war bis zum 24. Mai 2018 in Kraft (Art. 8 Abs. 1 Satz 2 des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung <EU> 2016/679 und zur Umsetzung der Richtlinie <EU> 2016/680 <Datenschutz-Anpassungs- und -Umsetzungsgesetz EU - DSAnpUG-EU> vom 30. Juni 2017 <BGBl. I S. 2097>). Nach § 38 Abs. 5 Satz 1 BDSG a.F. konnte die Aufsichtsbehörde zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten anordnen. Die Bestimmung setzte die Aufsichtsbehörde in den Stand, jeden rechtswidrigen Umgang mit personenbezogenen Daten zu beenden. Zu diesem Zweck ermächtigte sie die Aufsichtsbehörde, gegen jede Verhaltensweise und jeden Zustand vorzugehen, bei denen die Vorkehrungen des Datenschutzrechts zum Schutz personenbezogener Daten nicht beachtet wurden. Nach der Begriffsbestimmung des § 3 Abs. 1 BDSG a.F. waren dies Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Aus den Angaben musste sich deren Identität jedenfalls feststellen lassen.

Nach § 38 Abs. 5 Satz 1 BDSG a.F. hatte die Aufsichtsbehörde nach pflichtgemäßem Ermessen darüber zu entscheiden, welche Maßnahmen sie ergriff, um den datenschutzrechtlich gebotenen Schutz personenbezogener Daten sicherzustellen. Hierfür konnte sie derjenigen Person oder Stelle, die nach § 3 Abs. 7 BDSG a.F. für eine rechtswidrige Erhebung, Verarbeitung oder Nutzung solcher Daten verantwortlich war, Handlungs- oder Unterlassungspflichten auferlegen. Das Vorgehen hatte sich daran zu orientieren, auf welche Weise den Belangen des Datenschutzes künftig am besten Rechnung getragen werden konnte (BT-Drs. 16/12011 S. 44). Auch musste die Aufsichtsbehörde bei der Bestimmung des konkreten Inhalts einer Maßnahme das Gebot der Verhältnismäßigkeit wahren. So konnte sie davon absehen, dem Verantwortlichen eine konkrete Handlungspflicht zur Beseitigung des Rechtsverstoßes aufzuerlegen, wenn es erfolgversprechend erschien, ihm die Art der Beseitigung zu überlassen (Plath, in: Plath, BDSG/DSGVO, 2. Aufl. 2016, § 38 BDSG Rn. 62; von Lewinski, in: Auernhammer, DSGVO/BDSG, 5. Aufl. 2017, § 38 BDSG Rn. 75).

b) Ungeachtet des Umstands, dass sich Handlungsgebote wie die der Klägerin aufgegebene Änderung der Ausrichtung der Digitalkamera ständig aktualisieren, weil damit die Verpflichtung einhergeht, den neu geschaffenen Zustand auf Dauer beizubehalten, sind derartige Maßnahmen nach § 38 Abs. 5 Satz 1 BDSG a.F. nach demjenigen Recht zu beurteilen, das zum Zeitpunkt der letzten Behördenentscheidung galt. Dies folgt daraus, dass diese Bestimmung der Aufsichtsbehörde bei Feststellung eines Verstoßes gegen Datenschutzrecht einen Ermessensspielraum für das daran anknüpfende Vorgehen eröffnet. Die gerichtliche Nachprüfung einer behördlichen Ermessensentscheidung bezieht sich auf den Zeitpunkt der Ausübung des Ermessens, wenn sich aus dem materiellen Recht nichts Abweichendes ergibt (vgl. zu einer solchen Ausnahme: BVerwG, Urteil vom 15. November 2007 - 1 C 45.06 - BVerwGE 130, 20 Rn. 14 ff.). Für eine Ermessensentscheidung ist kennzeichnend, dass die Behörde zwischen mehreren rechtlich zulässigen, weil von der Bandbreite des Ermessensspielraums gedeckten Handlungsalternativen wählen kann. Die Verwaltungsgerichte prüfen diese Auswahlentscheidungen nur eingeschränkt nach Maßgabe des § 114 Satz 1 VwGO nach. Insbesondere sind sie daran gehindert, ihre eigenen Auswahlerwägungen an die Stelle derjenigen der Behörde zu setzen. Dies schließt es grundsätzlich aus, Ermessensentscheidungen anhand von tatsächlichen und rechtlichen Erkenntnissen nachzuprüfen, die die Behörde nicht in ihre Erwägungen einbeziehen konnte, weil sie zum Zeitpunkt der Ermessensausübung noch nicht vorlagen (BVerwG, Urteile vom 20. Mai 1980 - 1 C 82.76 - BVerwGE 60, 133 <136> und vom 6. April 1989 - 1 C 70.86 - BVerwGE 81, 356 <358>; BFH, Urteil vom 26. März 1991 - VII R 66/90 - BFHE 164, 7 <9>).

Nach dem Regelungsgehalt des § 38 Abs. 5 Satz 1 BDSG a.F. ist kein anderer Beurteilungszeitpunkt geboten. Vielmehr hat sich die Ermessensausübung zur Bestimmung der dem Verantwortlichen als Beseitigungsmaßnahme aufzuerlegenden Handlungs- oder Unterlassungspflichten an der Art des datenschutzrechtlichen Verstoßes zu orientieren. Ob ein Verstoß vorliegt, ist wiederum nach demjenigen Recht zu beurteilen, das zum Zeitpunkt der letzten Behördenentscheidung gilt.

Danach kommt es für die Rechtmäßigkeit der streitbefangenen Anordnung auf die Rechtslage an, die zum Zeitpunkt der Widerspruchsentscheidung der Beklagten im Januar 2013 galt. Denn die Beklagte hatte als Widerspruchsbehörde nach § 68 Abs. 1 Satz 1 VwGO die Recht- und Zweckmäßigkeit ihrer Anordnung nachzuprüfen, d.h. nochmals eine eigene Ermessensentscheidung zu treffen. Dies bedeutet, dass danach eingetretene Rechtsänderungen für die Entscheidung über die Anfechtungsklage und damit über die Revision ohne Bedeutung sind. Die Klägerin hat einen Anspruch auf Aufhebung der Anordnung nach § 113 Abs. 1 Satz 1 VwGO, wenn diese bei Erlass des Widerspruchsbescheids rechtswidrig war.

2. Die Beobachtung des Besuchern zugänglichen Bereichs der Zahnarztpraxis durch ein Kamera-Monitor-System ist an den Zulässigkeitsvoraussetzungen des § 6b Abs. 1 BDSG a.F. zu messen, weil es sich um eine Videoüberwachung handelt. Die Bestimmung traf zwei abschließende Regelungen: Zum einen definierte sie den Begriff der Videoüberwachung. Hierfür müssen öffentlich zugängliche Räume mit optisch-elektronischen Einrichtungen beobachtet werden. Zum anderen legte § 6b Abs. 1 BDSG a.F. die Anforderungen für deren Zulässigkeit fest. Videoüberwachungen, die nicht durch § 6b Abs. 1 BDSG a.F. gedeckt sind, waren verboten.