Entscheidung des Verfassungsgerichts vom 12.10.2023 mit der Aktenzeichen 2020-7518

BEWERTUNG DER ENTSCHEIDUNG DES VERFASSUNGSGERICHTSHOFS VOM 12.10.2023 MIT DER ANTRAGSNUMMER 2020/7518

Das Verfassungsgericht („AYM“) hat mit seiner Entscheidung vom 12.10.2023, Aktenzeichen 2020/7518, entschieden, dass die Eigentumsrechte des Antragstellers durch die vom Ausschuss für den Schutz personenbezogener Daten („Ausschuss“) verhängte Geldstrafe verletzt wurden, da die erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung der Datensicherheit nicht getroffen wurden.

1. Gegenstand und Begründung der Beschwerde

In dem Fall, der Gegenstand der Entscheidung ist, handelt es sich bei dem Beschwerdeführer um eine Holdinggesellschaft mit Sitz im Ausland, die Hotels in verschiedenen Ländern betreibt, Franchise-Dienstleistungen für Hotels erbringt und über ihre Tochtergesellschaften Lizenzen für Timesharing-Anlagen vergibt.

Das antragstellende Unternehmen erhielt am 08.09.2018 eine Warnung von einem internen Sicherheitsinstrument bezüglich einer verdächtigen Transaktion in der Gästebuchungsdatenbank des 2016 übernommenen Beherbergungsunternehmens. Die daraufhin durchgeführte Untersuchung ergab, dass am 19.11.2018 ein unbefugter Dritter Zugriff auf die Gästebuchungsdatenbank des Beherbergungsunternehmens genommen hatte.

Nach Bestätigung des Verstoßes veröffentlichte das antragstellende Unternehmen am 30.11.2018 eine Pressemitteilung, richtete eine Website zum Verstoß ein, auf der Informationen zum Verstoß bereitgestellt wurden, informierte die betroffenen Personen darüber, wie sie sich schützen können, und versandte E-Mails an die vom Verstoß betroffenen Gäste, deren gültige E-Mail-Adressen vorlagen.

Am 3.12.2018 meldete das antragstellende Unternehmen der Datenschutzbehörde („Behörde“) einen Sicherheitsvorfall im Zusammenhang mit einer Datenverletzung, von der türkische Staatsbürger betroffen waren. In dieser Meldung wurde angegeben, dass

1. 500 Millionen Kundendaten aufgrund einer Datenverletzung kopiert wurden,
2. seit Juli 2014 unbefugter Zugriff auf das Netzwerk des Unternehmens, in dem die Datenbank gespeichert ist, bestand und der unbefugte Zugriff auf die Gästedatenbank am 08.09.2018 festgestellt wurde,
3. von den 500 Millionen Kunden die personenbezogenen Daten von etwa 327 Millionen Kunden gestohlen wurden,
4. Bei den von der Verletzung betroffenen Daten handelt es sich um Vor- und Nachname, Postanschrift, Telefonnummer, Geburtsdatum, Geschlecht, Passnummer, Kontoinformationen des Beherbergungsunternehmens, Hotelinformationen, Informationen zum Ein- und Auschecken im Hotel, Zahlungskartennummern und Ablaufdaten der Zahlungskarten, Reservierungsdatum und Kommunikationspräferenzen.

Nach Prüfung der Meldung der Verletzung hat die Kommission in ihrer Entscheidung vom 05.12.2018 festgestellt, dass die in der übernommenen Unterkunftsgesellschaft nicht ausreichenden Maßnahmen zur Sicherheit des Datennetzes zu dieser Verletzung geführt haben, und dass türkische Staatsbürger von dieser Verletzung betroffen sind. und dass die Antragsteller über die Details der durchgeführten und geplanten Maßnahmen in Bezug auf die Datenschutzverletzung informiert werden sollten, falls türkische Staatsbürger von der Datenschutzverletzung betroffen waren. Außerdem wurde beschlossen, die Datenschutzverletzung auf der Website der Behörde bekannt zu geben.

Der Antragsteller hat in seiner Erklärung vom 28.03.2019 Folgendes angegeben:

1. Es gibt etwa 383 Millionen Kundeneinträge, von denen etwa 1,24 Millionen als Region/Land Türkei angegeben sind. Dies bedeutet jedoch nicht, dass 383 Millionen einzelne Kunden oder 1,24 Millionen türkische Kunden von dem Vorfall betroffen sind, da für denselben Kunden mehrere Einträge vorhanden sind.
2. Angesichts der Art und des Umfangs der gestohlenen Daten sei eine Vereinheitlichung der Daten nicht ohne Weiteres möglich, und unter Berücksichtigung der Kompetenz des Angreifers in diesem Bereich seien die Informationen, die in der vergangenen Zeit aufgedeckt werden konnten, begrenzt.
3. Das übernommene Beherbergungsunternehmen sei als Datenverantwortlicher anzusehen.

Da die erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung der Datensicherheit gemäß Artikel 12 Absatz 1 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („Gesetz“) nicht getroffen wurden, verhängte die Kommission am 16.05.2019 eine Geldbuße in Höhe von 1.100.000 TL. und gemäß Absatz 5 desselben Gesetzes wegen Nichtbeachtung der Verpflichtung zur unverzüglichen Meldung des Verstoßes eine Geldstrafe in Höhe von 350.000 TL, insgesamt also eine Geldstrafe in Höhe von 1.450.000 TL. Diese Entscheidung wurde dem Antragsteller zugestellt und am 12.07.2019 an dessen indirekte Beteiligung, die die Hotels in der Türkei mit Hotels in der Türkei, am 12.07.2019 zugestellt.

Der Antragsteller machte geltend, dass die Verwaltungsstrafe nicht ordnungsgemäß zugestellt worden sei, dass sie auf Entscheidungen vor Inkrafttreten des Gesetzes angewendet worden sei, dass er nicht als Datenverantwortlicher angesehen werden könne, die Begründung der Entscheidung des Ausschusses unzureichend sei, das Gesetz vorsehe, dass Verstöße so schnell wie möglich gemeldet werden müssten, keine Frist vorgesehen sei und die Verhängung der Höchststrafe unverhältnismäßig sei.

Das 1. Strafgericht für Zivilsachen in Istanbul lehnte den Antrag auf Aufhebung der Verwaltungsstrafe mit der Begründung ab, dass „die Tat durch das von der Verwaltung erstellte Protokoll als erwiesen gilt und die gegen ihn wegen der durch die erwiesene Tat begangenen Ordnungswidrigkeit verhängte Verwaltungsstrafe als rechtmäßig und verfahrenskonform anzusehen ist“.

Der Antragsteller legte gegen diese Entscheidung des 1. Strafgerichtshofs für Friedenssachen in Istanbul Anadolu Berufung ein. Diese Berufung wurde vom 2. Strafgerichtshof für Friedenssachen mit der Begründung endgültig abgelehnt, dass „die Entscheidung des 1. Strafgerichtshofs für Friedenssachen in Istanbul Anadolu nicht gegen das Gesetz und die Verfahrensvorschriften verstößt und dass es keinen Grund gibt, die Entscheidung zu ändern”.

Aufgrund dieser Entscheidung reichte der Beschwerdeführer eine Einzelbeschwerde beim Verfassungsgerichtshof ein, der die Beschwerde im Rahmen des Eigentumsrechts prüfte.

2. Prüfung und Ergebnis des Verfassungsgerichts

In seiner Bewertung der Behauptung des Beschwerdeführers, dass sein Eigentumsrecht verletzt worden sei, stellte das Verfassungsgericht fest:

• Im konkreten Fall stelle die Verhängung einer Geldstrafe gegen den Beschwerdeführer wegen der Nichtdurchführung der erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung der Datensicherheit im Rahmen des Gesetzes und wegen der nicht unverzüglichen Meldung der Verletzung der Datensicherheit einen Eingriff in das Eigentumsrecht dar. dass mit diesem Eingriff die Verhinderung von Verstößen gegen Vorschriften zum Schutz personenbezogener Daten bezweckt wurde und dass in diesem Fall unter Berücksichtigung des Zwecks des Eingriffs im vorliegenden Fall der Eingriff im Rahmen der Vorschriften zur Kontrolle der Nutzung des Eigentums im öffentlichen Interesse zu prüfen ist,
• In Artikel 35 der Verfassung sei das Eigentumsrecht nicht als uneingeschränktes Recht geregelt, dieses Recht könne im öffentlichen Interesse und durch Gesetz eingeschränkt werden, bei Eingriffen in das Eigentumsrecht seien auch die allgemeinen Grundsätze zur Einschränkung der Grundrechte und -freiheiten gemäß Artikel 13 der Verfassung zu berücksichtigen.
• Der Antragsteller macht geltend, dass das Gesetz keine Frist für die Meldung von Datenschutzverletzungen vorsehe und daher kein rechtlicher Grund für den Eingriff bestehe, dass jedoch eine Bewertung unter dem Gesichtspunkt der Verhältnismäßigkeit angemessen sei.
• Darüber hinaus hat der Antragsteller in seiner Beschwerde beim Strafgericht Folgendes geltend gemacht:
  1. Im Rahmen des Gesetzes sei nicht er selbst als Datenverantwortlicher anzusehen, sondern das übernommene Beherbergungsunternehmen, bei dem die Datenverletzung stattgefunden habe.
  2. Der Antragsteller macht geltend, dass die vom Ausschuss verhängte Geldbuße zeitlich nicht anwendbar sei und gegen den Grundsatz der Persönlichkeit der Strafe verstoße.
  3. Obwohl er seiner Meldepflicht innerhalb kurzer Zeit nachgekommen sei, sei die Ungewissheit hinsichtlich der in den Rechtsvorschriften festgelegten Frist zu seinen Ungunsten ausgelegt worden.
  4. Die Haftung für Fehler beim Schutz personenbezogener Daten sei grundsätzlich gegeben; obwohl er alle Maßnahmen ergriffen habe und kein Verschulden vorliege, sei die Verhängung einer Strafe rechtswidrig.

Das Verfassungsgericht kam zu dem Schluss, dass diese Einwände, die das gesamte Gerichtsverfahren beeinflussen und berücksichtigt werden müssen, nicht geprüft wurden, was dazu führte, dass die Garantien zum Schutz des Eigentumsrechts in diesem konkreten Fall nicht erfüllt wurden, und entschied, dass das Eigentumsrecht verletzt wurde.

Was war geschehen?

Die in der Entscheidung erwähnte Verletzung ereignete sich innerhalb der Marriott International Inc. („Unternehmen“) und wurde in der Entscheidung Nr. 2019/143 der Datenschutzbehörde vom 16.05.2019 öffentlich bekannt gegeben, in der beschlossen wurde, gegen das Unternehmen aufgrund der erfolgten Verletzung eine Geldstrafe zu verhängen.

In der Entscheidung heißt es: „Obwohl es seit 2014 Web-Ereignisprotokolle (Log-Aufzeichnungen) gibt, die den unbefugten Zugriff und die Einrichtung von Befehlszeilen zeigen, stellt die Tatsache, dass der Vorfall nicht entdeckt wurde und etwa vier Jahre lang andauerte, eine sehr schwerwiegende Sicherheitslücke dar. Dies sei ein konkreter Beweis dafür, dass das Unternehmen die erforderlichen Überprüfungen und Kontrollen nicht durchgeführt und die erforderlichen technischen und administrativen Maßnahmen nicht ergriffen habe.“

Kommentar von GRC LEGAL

Die Auslegung der vom Ausschuss verhängten Geldstrafe durch das Verfassungsgericht als Verletzung des Eigentumsrechts unterstreicht die Bedeutung der Einhaltung von Datenschutzbestimmungen und der Fairness im Rechtsverfahren.

Die Fragezeichen, die die Rechtsmittel gegen die von der Kommission verhängte Geldbuße in Bezug auf die einschlägigen Rechtsvorschriften und deren Anwendung aufwerfen, führen auch zu Unsicherheiten in den Gerichtsverfahren und zu oberflächlichen, unbegründeten Entscheidungen. Die Tatsache, dass die gegen die Verwaltungsstrafe eingelegte Beschwerde nicht von einem Verwaltungsgericht, sondern von einem Strafgericht geprüft wird, wirft die Frage auf, ob es angemessen ist, dass das Strafgericht die Entscheidungen der Kommission gerichtlich überprüft. Insbesondere sollten die Maßnahmen, die innerhalb der kurzen Frist, die zum Zeitpunkt des Vorfalls nicht durch die Entscheidungen des Ausschusses festgelegt war, ergriffen wurden, unter Berücksichtigung von Kriterien wie der Position der für die Datenverarbeitung Verantwortlichen vor und nach der Übertragung und der Aufteilung der Verantwortlichkeiten getroffen werden, um Unklarheiten in Bezug auf Aufgaben und Befugnisse zu beseitigen. Es ist äußerst wichtig, dass Entscheidungen getroffen werden, die gerecht sind und die Grundrechte und -freiheiten nicht verletzen, und dass in dieser Hinsicht eine Rechtsprechung entsteht.