Im Rahmen eines Beschwerdeverfahrens nach Art. 77 DSGVO kann das Ermessen einer Aufsichtsbehörde auf null sinken.
Sachverhalt
Die Klägerin nahm an einem dreitägigen Seminar teil, reiste allerdings bereits vor Seminarende ab. Im Nachgang führte die Klägerin mit dem Beigeladenen streitigen E-Mail-Verkehr. In dessen Rahmen übersandte der Beigeladene der Klägerin als Anhang eine Tabelle, in der die Teilnehmenden des Seminars aufgelistet wurden, und in der vermerkt war, wer bereits einen Tag früher anreisen wollte, und aus der die gebuchten Zimmerkategorien und die etwaige Buchung eines Frühstücks hervorgingen.
Daraufhin forderte die Klägerin den Beigeladenen zur unverzüglichen Erteilung einer Auskunft über alle über sie gespeicherten personenbezogenen Daten auf, insbesondere zur Berechtigung des Beigeladenen zur Datenspeicherung, zu Zeitpunkt, Empfänger und Zweck der Weiterleitung von Daten sowie zu welchen Zwecken der Beigeladene ihre Daten genutzt habe.
Außerdem legte die Klägerin bei der zuständigen Datenschutzaufsichtsbehörde eine Beschwerde wegen einer Datenschutzverletzung durch den Beigeladenen wegen missbräuchlicher Nutzung von persönlichen Daten von Teilnehmern eines Seminars und Nichtauskunft über die Verwendung von Daten der Klägerin ein. Aus der durch den Beigeladenen übersandten Teilnehmerliste des Seminars sei neben den Namen auch die gebuchte Zimmerkategorie ersichtlich, aus der Rückschlüsse auf die finanzielle Situation der Teilnehmer gezogen werden könnten. Sie habe daraufhin Zweifel in Bezug auf die Verwendung der eigenen Daten durch den Beigeladenen bekommen und diesen bereits selbst um die Erteilung der Auskunft über die Verwendung ihrer personenbezogenen Daten gebeten, jedoch hierauf keine Antwort erhalten.
Die Aufsichtsbehörde forderte den Beigeladenen dazu auf, der Klägerin die ihr nach Art. 15 DSGVO zustehende Auskunft zu erteilen, soweit die personenbezogenen Daten nicht gelöscht seien, was plausibel darzustellen sei und gegenüber der Aufsichtsbehörde bestätigt werden müsse.
Der Beigeladene teilte der Aufsichtsbehörde mit, er habe die Adressdaten der Klägerin gelöscht. Nur ihre E-Mail-Adresse habe er noch gespeichert, da sie ein Anrecht auf den Bezug von Leistungen im Rahmen des Kurses habe. Sofern die Klägerin den Kurs kündige, werde er die E-Mail-Adresse der Klägerin löschen, ansonsten werde die E-Mail-Adresse nach dem Versand des letzten Kursbriefes gelöscht. Der Versand der Kurs-Teilnehmerliste an die Klägerin sei ein Versehen gewesen und komme in Zukunft nicht mehr vor.
Die Aufsichtsbehörde übersandte der Klägerin daraufhin per E-Mail eine Abschlussmitteilung. Der Beigeladene sei nochmals aufgefordert worden, der Klägerin die beantragte Auskunft zu erteilen. Nach pflichtgemäßem Ermessen habe man davon abgesehen, sonstige aufsichtsrechtliche Maßnahmen nach Art. 58 Abs. 2 DSGVO zu ergreifen, und betrachte die Angelegenheit als erledigt. Am selben Tag bat die Aufsichtsbehörde den Beigeladenen, der Klägerin die gewünschte Auskunft nach Art. 15 DSGVO unter Nutzung eines Musters für gute Auskunft mitzuteilen.
In Antwort auf die Abschlussmitteilung bat die Klägerin die Aufsichtsbehörde um Mitteilung, was sie noch tun könne, um die Auskunft zu erhalten, falls auch die erneute Aufforderung der Aufsichtsbehörde an den Beigeladenen nicht greife. Die Aufsichtsbehörde antwortete, die Klägerin dürfe sich gerne wieder an sie wenden, falls die Mitteilung des Beigeladenen nicht innerhalb von vier Wochen bei ihr eintreffe.
Daraufhin verlangte die Klägerin von dem Beigeladenen innerhalb der nächsten Woche eine allumfängliche Datenauskunft. Dieser teilte der Klägerin daraufhin mit E-Mail mit, er habe ihr per E-Mail mehrfach die Auskunft gegeben, dass er keine Daten der Klägerin mehr speichere außer der E-Mail-Adresse. Am selben Tag erklärte der Beigeladene der Klägerin, er lösche ihre E-Mail-Adresse aus dem Versandsystem des Kurses.
Die Klägerin stellte gegenüber der Aufsichtsbehörde klar, es gehe ihr um ihre Daten und die Frage, welche Daten der Beigeladene wann wohin geschickt habe und welches Einverständnis er dafür gehabt habe. Später teilte die Klägerin der Aufsichtsbehörde mit, sie habe die gewünschte Auskunft vom Beigeladenen bisher nicht erhalten.
Die Aufsichtsbehörde teilte der Klägerin mit, mit der Erklärung des Beigeladenen, in der Vergangenheit Daten der Klägerin verarbeitet und diese zwischenzeitlich gelöscht zu haben, habe dieser das Auskunftsersuchen der Klägerin mit einer Negativauskunft beantwortet, die Angelegenheit sei endgültig abgeschlossen.
Darauf erhob die Klägerin die gegenständliche Klage gegen die Aufsichtsbehörde.
Sie wehre sich gegen die Abschlussmitteilung der Aufsichtsbehörden. Der Beigeladene müsse weiterhin Daten der Klägerin haben, er habe die Vertragsunterlagen aufgrund der Einnahmen für das Finanzamt aufheben müssen und weil er mit einer möglichen Klage wegen Vertragsverletzung zu rechnen habe. Selbst wenn die Daten gelöscht seien, könne es auch nicht sein, dass man den Datenschutz nicht beachte, Daten wissentlich „missbrauche“ und nachher alles lösche und dann nicht mehr auskunftspflichtig sei. Die Klägerin habe eindeutig die Auskunft über alle sie betreffenden personenbezogenen Daten und deren Verwendung gefordert.
Aus der Behördenakte sei durch den gelben Aufkleber auf dem Schreiben des Beigeladenen ersichtlich, dass der Aufsichtsbehörde bewusst gewesen sei, dass dieser keine dem Datenschutz entsprechende Auskunft gegeben habe. Auf dem Aufkleber ist handschriftlich notiert: „Die Frage, ob er ihr auch „Auskunft über ihre gespeicherten Daten“ erteilt hat, hat er nicht beantwortet“. Es sei willkürlich von der Behörde entschieden worden, keine Auskunft zu verlangen, mit der Begründung, dass schon entsprechend Zeit investiert worden sei. In dem Bewusstsein, dass keine Datenauskunft erfolgt sei, werde der Beigeladene aufgefordert, der Klägerin die ihr zustehende Datenauskunft zu liefern, die Aufforderung werde aber gleichzeitig mit dem Hinweis versehen, dass für die Behörde die Angelegenheit jetzt schon erledigt sei und keinerlei weitere Aktivität erfolgen werde.
Die Klägerin beantragte vor dem Verwaltungsgericht Ansbach, die Beklagte unter Aufhebung der Abschlussmitteilung zu verurteilen, gegen den Beigeladenen eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO zu ergreifen..
Aus den Entscheidungsgründen
Die auf die Verurteilung des Beklagten zur Ergreifung aufsichtlicher Maßnahmen nach Art. 58 Abs. 2 DSGVO gegen den Beigeladenen gerichtete Klage ist nach der ständigen Rechtsprechung des Verwaltungsgerichts als allgemeine Leistungsklage, gerichtet auf ein aufsichtliches Einschreiten, statthaft.
Der Europäische Gerichtshof hat inzwischen in diesem Sinne klargestellt, dass Art. 78 Abs. 1 DSGVO eine vollständige gerichtliche Überprüfung einer Abschlussmitteilung verlangt, die nicht lediglich darauf beschränkt ist, ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis gesetzt hat. Vielmehr unterliegt ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde einer vollständigen inhaltlichen Überprüfung durch das Gericht, die allerdings grundsätzlich in Bezug auf die Wahl der geeigneten und erforderlichen Abhilfebefugnisse auf die Überprüfung von Ermessensfehlern beschränkt ist.
Gegenstand der Klage ist dabei allein der Sachverhalt, der Gegenstand der Beschwerde der Klägerin nach Art. 77 DSGVO war und der Abschlussmitteilung zugrunde liegt. Voraussetzung für die wirksame Beschwerdeerhebung ist, dass ein konkreter Sachverhalt mitgeteilt wird, aufgrund dessen der Beschwerdeführer von einer Verletzung der DSGVO ausgeht. Dieser in der Beschwerde mitgeteilte Sachverhalt bestimmt und begrenzt daher auch den Prüfungsauftrag, der der Aufsichtsbehörde mit der Beschwerde gesetzt wird, und begrenzt damit auch den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DSGVO eingeleiteten Gerichtsverfahrens. Wie die Klägerin in der mündlichen Verhandlung klarstellte, ging es ihr vorliegend im Rahmen ihrer Beschwerde um die aus ihrer Sicht unzureichende Datenauskunft des Beigeladenen.
Die Klagebefugnis der Klägerin ergibt sich aus Art. 78 Abs. 1 DSGVO, wonach jede natürliche Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde – hier die Abschlussmitteilung des Beklagten – hat. Die Klage ist auch im Übrigen zulässig, insbesondere war kein Vorverfahren durchzuführen (§ 20 Abs. 6 BDSG) und keine Klagefrist einzuhalten.
Die Klägerin hat im maßgeblichen Entscheidungszeitpunkt einen Anspruch auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde gegen den Beigeladenen. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO steht dabei im Ermessen der Aufsichtsbehörde.
Voraussetzung für die Begründetheit einer allgemeinen Leistungsklage auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde ist nach der Rechtsprechung des Verwaltungsgerichts, dass der geltend gemachte Verstoß gegen datenschutzrechtliche Vorschriften feststeht oder sich zumindest aufdrängt und das Ermessen hinsichtlich des aufsichtlichen Einschreitens (Entschließungsermessen) auf null reduziert ist. Dies kann etwa dann der Fall sein, wenn der Verstoß so schwerwiegend in die Rechte der betroffenen Person eingreift, dass das Ergreifen aufsichtlicher Maßnahmen die einzig rechtmäßige Handlungsmöglichkeit der Aufsichtsbehörde darstellt, oder wenn nur das Ergreifen (weiterer) aufsichtlicher Maßnahmen zur Schaffung rechtmäßiger Zustände führt. Der Anspruch gegen den Beklagten auf weiteres aufsichtliches Tätigwerden setzt dabei die Verletzung eigener Rechte voraus.
Laut Erwägungsgrund 148 der DSGVO, insbesondere Satz 3, soll die Behörde bei der Wahl der geeigneten Maßnahme Folgendem gebührend Rechnung tragen: der Art, Schwere und Dauer des Verstoßes, dem vorsätzlichen Charakter des Verstoßes, den Maßnahmen zur Minderung des entstandenen Schadens, dem Grad der Verantwortlichkeit oder jeglichem früheren Verstoß, der Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, der Einhaltung der gegen den Verantwortlichen angeordneten Maßnahmen, der Einhaltung von Verhaltensregeln und jedem anderen erschwerenden oder mildernden Umstand. Auch wenn dieser Erwägungsgrund in seinem vorhergehenden Satz 2 konkret das Verhältnis von einer Verwarnung zur Bußgeldverhängung beschreibt, also unmittelbar nur die Ausübung des Auswahlermessens in bestimmten Konstellationen betrifft, kommt doch in den anschließend in Satz 3 aufgelisteten Kriterien ein allgemeiner Rechtsgedanke zum Ausdruck, der bereits im Rahmen des Entschließungsermessens und bei jeder Ausübung des Auswahlermessens heranzuziehen ist.
Der Beklagte ist im Entscheidungszeitpunkt seiner Pflicht zum Ergreifen von Abhilfemaßnahmen ermessensfehlerhaft nicht nachgekommen. Das Entschließungsermessen der Aufsichtsbehörde zum Ergreifen von Abhilfemaßnahmen ist angesichts der konkreten Umstände des Verstoßes des Beigeladenen gegen das subjektive Auskunftsrecht der Klägerin aus Art. 15 Abs. 1 DSGVO auf null reduziert.
Art. 15 Abs. 1 DSGVO verleiht einer betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten, insbesondere über die Verarbeitungszwecke (Buchst. a); die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b); sowie die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Buchst. c). Aus dem unzweideutigen Wortlaut der Vorschrift folgt, dass die Auskunft unmittelbar gegenüber der betroffenen Person zu erteilen ist, nicht lediglich gegenüber der Datenschutzaufsichtsbehörde.
Es ist vorliegend unstreitig, dass der Beigeladene im Rahmen der Anmeldung und Teilnahme der Klägerin bei dem von ihm veranstalteten Seminar als Verantwortlicher (Art. 4 Nr. 7 DSGVO) personenbezogene Daten der Klägerin verarbeitet hat. Ihr standen damit – jedenfalls während die Datenverarbeitung fortdauerte – die in Art. 15 Abs. 1 Halbsatz 2 DSGVO aufgezählten, über die bloße Bestätigung einer Datenverarbeitung hinausgehenden Auskunftsrechte vollumfänglich zu.
Der Beigeladene reagierte zunächst nicht auf die direkte Aufforderung durch die Klägerin, ihr eine Datenauskunft zu erteilen. Auf die Aufforderung der Aufsichtsbehörde, der Klägerin die ihr zustehende Auskunft zu erteilen, reagierte der Beigeladene zunächst nur gegenüber der Aufsichtsbehörde und teilte mit, die Adressdaten der Klägerin gelöscht zu haben und lediglich ihre E-Mail-Adresse zu speichern. Sodann forderte die Aufsichtsbehörde den Beigeladenen parallel zur Abschlussmitteilung erneut zur Auskunft gegenüber der Klägerin auf. Nur nachdem die Klägerin sich erneut unmittelbar an den Beigeladenen gewandt hatte, gab er in zwei E-Mails an, nur noch ihre E-Mail-Adresse zu speichern und diese nun zu löschen. Es ist nicht ersichtlich, dass der Beigeladene zuvor eine Auskunft nach Art. 15 Abs. 1 DSGVO erteilte.
Der Beigeladene kam nach den dem Gericht vorliegenden Erkenntnissen demnach trotz der zweimaligen ausdrücklichen Aufforderung durch die Aufsichtsbehörde seiner Rechtspflicht aus Art. 15 Abs. 1 DSGVO gegenüber der Klägerin nicht nach. Erst später erteilte er der Klägerin eine Negativauskunft. Zwar kann einem Auskunftsersuchen auch durch Negativauskunft nachgekommen werden; auch dann, wenn keine Datenverarbeitung stattfindet, hat die (potenziell) betroffene Person einen Anspruch darauf, dass dies ihr gegenüber bestätigt wird. Die Negativauskunft, die am 5. April 2024 gegenüber der Klägerin erfolgte, war allerdings erkennbar unzureichend. Zu diesem Zeitpunkt verarbeitete der Beigeladene laut eigener Aussage jedenfalls noch die E-Mail-Adresse der Klägerin. Jedenfalls diesbezüglich traf ihn also nach Art. 15 Abs. 1 Buchst. c DSGVO die Pflicht, der Klägerin mitzuteilen, gegenüber welchen Empfängern oder Kategorien von Empfängern die E-Mail-Adresse offengelegt worden war oder noch offengelegt wurde. Der Beigeladene teilte aber lediglich mit, die E-Mail-Adresse gelöscht zu haben und keine Daten mehr zu verarbeiten; eine auf die Vergangenheit bezogene (ggf. Negativ-) Auskunft blieb er schuldig.
In der zunächst unterlassenen und sodann unzureichenden Auskunft des Beigeladenen gegenüber der Klägerin lag also jeweils ein Verstoß gegen die datenschutzrechtliche Vorschrift des Art. 15 Abs. 1 DSGVO.
Stellt die Datenschutzaufsichtsbehörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DSGVO fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck stehen insbesondere die in Art. 58 Abs. 2 DSGVO aufgezählten Abhilfebefugnisse zur Verfügung.
Der vorliegende Verstoß gegen das im System der DSGVO zentrale subjektive Recht der Klägerin aus Art. 15 Abs. 1 DSGVO führt gemäß den oben erläuterten Bewertungsgrundsätzen unter Beachtung des erschwerenden Umstands der Renitenz des Beigeladenen dazu, dass auch im Zeitpunkt der gerichtlichen Entscheidung das Entschließungsermessen der Aufsichtsbehörde zum Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO auf null reduziert ist. Nur eine solche Maßnahme stellt im vorliegenden Einzelfall i. S. d. zitierten Rechtsprechung des Europäischen Gerichtshofs eine „geeignete Reaktion“ dar.
Zunächst ist festzustellen, dass die Aufsichtsbehörde den Beigeladenen zwar zweimal mit „Aufsicht nach Art. 58 DSGVO“ überschriebenen Schreiben zur Auskunftserteilung aufforderte. Hierin ist aber jeweils keine formale Abhilfemaßnahme zu sehen, insbesondere keine Anweisung i. S. d. Art. 58 Abs. 2 Buchst. c DSGVO. Den Aufforderungen fehlt es ihrem Wortlaut nach an der Verbindlichkeit einer solchen Anweisung, außerdem wird nicht der Begriff der „Anweisung“ verwendet. Das zweite Schreiben ist als bloße Bitte formuliert. Zudem fehlt es an der bei einer Abhilfemaßnahme zu erwartenden Bescheidform inklusive Rechtsbehelfsbelehrung. Die Aufsichtsbehörde hat folglich im Entscheidungszeitpunkt noch keine Abhilfebefugnisse i. S. d. Art. 58 Abs. 2 DSGVO ausgeübt.
Das Gericht stellt außerdem fest, dass die Aufsichtsbehörde vorliegend das Beschwerdeverfahren durch Erlass der Abschlussmitteilung beendet hat, ohne vorher sicherzustellen, dass dem begründeten Begehren der Klägerin abgeholfen wurde bzw. würde. Vielmehr hat es dem Beigeladenen durch die Ankündigung, aktuell keine weiteren Maßnahmen zu ergreifen und die Angelegenheit als erledigt zu betrachten, implizit zu erkennen gegeben, dass der Beigeladene unabhängig von seinem weiteren Vorgehen keine aufsichtlichen Maßnahmen zu befürchten habe. Der Beklagte hat seine Untersuchung verfrüht abgeschlossen. Die Aufsichtsbehörde ist damit im Zeitpunkt der Abschlussmitteilung ermessensfehlerhaft nicht seiner Pflicht nachgekommen, die Datenschutzbeschwerde der Klägerin mit aller gebotenen Sorgfalt zu bearbeiten und dem Verstoß abzuhelfen.
Dass das Entschließungsermessen auch im Zeitpunkt der gerichtlichen Entscheidung auf null reduziert ist, ergibt sich einerseits daraus, dass der Beigeladene einer im System der DSGVO zentralen Pflicht nicht nachgekommen ist. Art. 15 DSGVO sichert, wie in Erwägungsgrund 63 der DSGVO deutlich wird, die Transparenz der Datenverarbeitung und die Kontrolle der Rechtmäßigkeit der Datenverarbeitung ab und ist damit ganz wesentlicher Bestandteil der in der DSGVO normierten Betroffenenrechte. Auch war die Klägerin von einer Auskunft des Beigeladenen abhängig, um ihre Rechte – zumindest potenziell, je nach Inhalt der Auskunft – zu realisieren.
Für die zwingende Notwendigkeit des Ergreifens einer formalen Maßnahme spricht außerdem die Renitenz des Beigeladenen bei der Auskunftserteilung. Die ausstehende Auskunft wurde auch nach Aufforderung durch die Aufsichtsbehörde zunächst nicht gegenüber der Klägerin erteilt. Als die Auskunft teilweise erteilt wurde, wurde entgegen der Aufforderung der Aufsichtsbehörde und entgegen der Pflicht des Beigeladenen (s. o.) in keiner Weise dargelegt, ob und gegenüber welchen Empfängern die zu diesem Zeitpunkt unzweifelhaft noch vorhandene E-Mail-Adresse der Klägerin in der Vergangenheit offengelegt wurde. Ohne die Beauskunftung der Empfänger ihrer Daten konnte die Klägerin keine informierte Entscheidung darüber treffen, ob sie ggf. auch diesen gegenüber ihre Betroffenenrechte, insbesondere das Auskunftsrecht und das Berichtigungsrecht, geltend machen wollte. Dies ist aber gerade wesentlicher Sinn und Zweck des Auskunftsrechts. Erschwerend tritt hinzu, dass die Klägerin die Möglichkeit bis heute nicht hat und angesichts der Löschung der betroffenen Daten durch den Beigeladenen auch nicht mehr erhalten wird. Das Beschwerdeverfahren wurde als Mechanismus konzipiert, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren. Dies erfordert, dass in Fällen wie dem vorliegenden formale Maßnahmen ergriffen werden, nicht nur, um im Einzelfall die Wahrung von Rechten zu erreichen, sondern auch, um künftige Rechtsverstöße durch den Verantwortlichen zu verhindern.
Das Auswahlermessen hinsichtlich einer konkreten Abhilfebefugnis ist dagegen vorliegend nicht auf null reduziert.
Bei der Ausübung des Auswahlermessens ist ebenfalls eine Orientierung an den in Erwägungsgrund 148 der DSGVO festgehaltenen Wertungsgesichtspunkten (s. o.) geboten. Denkbar erscheinen vor diesem Hintergrund etwa die Verwarnung des Beigeladenen (Art. 58 Abs. 2 Buchst. b DSGVO) oder die Verhängung einer Geldbuße (Art. 58 Abs. 2 Buchst. i DSGVO). Es bleibt aber vorliegend dabei, dass das Gericht seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse nicht an die Stelle der Beurteilung der Aufsichtsbehörde setzen kann, da eine Ermessensreduktion auf null insoweit nicht ersichtlich ist. Insbesondere zwischen den beiden genannten Abhilfemaßnahmen hat der Beklagte eine ermessensfehlerfreie Wahl zu treffen, da beide für die Erreichung des hinter dem Beschwerdeverfahren stehenden Zwecks auch jetzt noch geeignet sind.
Letztlich ist dem auf das Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO gerichteten Klagebegehren vollumfänglich stattzugeben.
Fazit
Die beklagte Aufsichtsbehörde wird verurteilt, unter Aufhebung der Abschlussmitteilung gegen den Beigeladenen eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO zu ergreifen.
Fundstelle:
Urteil des Verwaltungsgerichts Ansbach vom 12. Juni 2024 (Az. AN 14 K 20.941) – abrufbar im Internet unter https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2024-N-20312?hl=true
