Der Europäische Datenschutztag

Am 28.01.1981 wurde die Europäische Datenschutzkonvention unterzeichnet, mit der erstmals ein einheitliches Datenschutzniveau zwischen den Unterzeichnerstaaten angestrebt wurde. Der Tag der Unterzeichnung wurde zum europäischen Aktionstag für den Datenschutz erklärt, dessen Ziel es ist, die Bürger Europas für den Datenschutz zu sensibilisieren.

Aus diesem Anlass möchten wir kurz über die nach unserer Erfahrung am häufigsten auftauchenden Fragen zur Behandlung von Auskunftsansprüchen nach Art. 15 DSGVO informieren und aktuelle Entwicklungen zu dieser Thematik seit dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) skizzieren.

Seit dem Inkrafttreten der DSGVO am 25.05.2018 sind die Inhalte des Auskunftsanspruchs nach Art. 15 DSGVO umstritten. Auf der LEWENTO Akademie finden Sie passende Webinare zum Thema Datenschutz.

Welchen Umfang hat der Auskunftsanspruch nach Art. 15 Abs.1 DSGVO?

Mit Urteil vom 26.07.2019, Az 20 U 75/18, hat das OLG Köln entschieden, dass ein Auskunftsanspruch grundsätzlich umfassend zu beantworten ist, so dass außer den zur betroffenen Person gespeicherten Stammdaten auch Auskunft über sämtliche Umstände zu erteilen ist, die Personenbezug haben. Im konkreten Fall war ein Versicherungsunternehmen verurteilt worden, u.a. Auskunft über personenbezogene Daten aus Telefonnotizen und Gesprächsvermerken zu erteilen. Das Urteil ist noch nicht rechtskräftig, insofern bleibt abzuwarten, wie der BGH – IV ZR 213/19 – über die gegen das Urteil eingelegte Revision entscheidet.

In Richtung eines umfassenden Auskunftsanspruchs hat auch das ArbG Düsseldorf im Urteil vom 05.03.2020, Az 9 Ca 6557/18 entschieden. Auch dieses Urteil ist noch nicht rechtskräftig, die Berufung ist zum Az 14 Sa 294/20 beim LAG Düsseldorf anhängig.

Demgegenüber vertritt das LAG Niedersachsen in seinem Urteil vom 09.06.2020, Az 9 Sa 608/19, die Auffassung, dass ein Anspruch auf die Überlassung gesamter Akteninhalte grundsätzlich nicht besteht. Das Gericht stützt sich bei seiner Entscheidung auf den Wortlaut von Art. 15 Abs. 3 DSGVO, der lediglich von Daten spricht, „die Gegenstand der Verarbeitung sind“. Hierbei sei ein gewisser Grad an Aussagekraft der Daten über die betroffene Person zu fordern. Dies ergibt sich nach der Auffassung des Gerichts auch aus Erwägungsgrund 63 zur DSGVO. Danach kann der Verantwortliche dann, wenn er eine große Menge von Informationen über die betroffene Person verarbeitet, verlangen, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht.

Im Ergebnis dieselbe Auffassung vertritt das ArbG Bonn im Urteil vom 16.07.2020, Az 3 Ca 2026/19. Dort wird ausgeführt, dass das überwiegend erkannte Problem, dass ein Arbeitgeber im Verlaufe eines Arbeitsverhältnisses eine Vielzahl von personenbezogenen Daten über Arbeitnehmer erhebt, sowie Probleme im Zwangsvollstreckungsverfahren nur über eine Art “abgestufte Anspruchs- und Erfüllungslast” gelöst werden können, die beinhaltet, dass nur das erfüllt werden muss, was auch konkret vom Betroffenen verlangt worden ist.

Das ArbG Frankfurt a. M. (Urteil vom 18.12.2019, Az 9 Ca 5307/19) legt den Anspruch auf Auskunft ebenfalls restriktiv aus. Das Arbeitsgericht stellt insofern klar, dass das Recht auf Auskunft dem Betroffenen lediglich Transparenz in Bezug auf die Verarbeitung seiner personenbezogenen Daten verschaffen soll. Das Recht auf Auskunft könne aber nicht zu anderen Zwecken genutzt werden, z.B. um sich Beweismittel zu verschaffen. Demgemäß umfasse das Recht auf Auskunft nicht interne Unterlagen oder E-Mails.

Das LAG Baden-Württemberg hat demgegenüber zuvor in einer Entscheidung aus dem Jahr 2018 (Urteil vom 20.12.2018, Az 17 Sa 11/18)  noch einen allgemeinen Auskunftsantrag auf Auskunft über personenbezogene Leistungs- und Verhaltensdaten für begründet erklärt, ohne dass vom Betroffenen eine weitere Präzisierung des Auskunftsanspruchs erfolgt war.

Welchen Inhalt hat der Anspruch auf die Überlassung einer Kopie nach Art. 15 Abs. 3 DSGVO?

Die Auslegung des Anspruchs auf die Überlassung von Kopien nach Art. 15 Abs. 3 DSGVO erfolgt in der Rechtsprechung analog zur Auslegung des Inhalts des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO.

Insofern stellt z.B. das LAG Niedersachsen in seinem Urteil vom 09.06.2020, Az 9 Sa 608/19 ausdrücklich fest, dass der Anspruch auf Erteilung einer Kopie nicht weitergehen kann als die in Art. 15 Abs. 1 DSGVO geregelten Pflichtangaben. Der Wortlaut von Art. 15 Abs. 3 DSGVO spreche insoweit lediglich von Daten, die „Gegenstand der Verarbeitung“ sind, bezieht sich also auf Art. 15 Abs. 1 DSGVO.

Nach der restriktiven Ansicht in der Rechtsprechung beschränkt sich der Auskunftsanspruch ferner grundsätzlich auf solche Dokumente, die dem Betroffenen nicht bereits vorliegen. Insbesondere E-Mail-Verkehr, den der Betroffene selbst geführt oder erhalten hat, fällt nach dem Schutzzweck des Auskunftsanspruchs damit nicht unter das Recht aus Art. 15 Abs. 3 DSGVO (vgl. LAG Niedersachsen, ArbG Frankfurt a. M., jeweils aaO.).

Wann liegt ein überzogenes Auskunftsverlangen vor?

Nach Art. 12 Abs. 5 S. 2 DSGVO muss ein Verantwortlicher offenkundig unbegründete oder exzessiv häufige Auskunftsersuchen nicht oder nur gegen ein angemessenes Entgelt beantworten.

Die DSGVO enthält keine Regelungen darüber, wann ein Auskunftsersuchen unbegründet oder exzessiv ist, womit sich auch an dieser Stelle Unsicherheiten über die Rechtslage ergeben.

Bevor sich hierzu eine einheitliche Rechtsprechung gebildet hat, wird man nur nach dem Zweck des Gesetztes argumentieren können: Der Auskunftsanspruch nach Art. 15 DSGVO soll dem Betroffenen eine Rechtmäßigkeitskontrolle bezogen auf die Verarbeitung seiner personenbezogenen Daten ermöglichen. Damit dürften jedenfalls solche Auskunftsverlangen unbegründet sein, die einen anderen Zweck verfolgen (z.B. Beweismittelverschaffung, Verschaffung von Buchhaltungsunterlagen).

In allen Fällen, in denen ein Auskunftsersuchen vom Verantwortlichen nach Art. 12 Abs. 5 S. 2 DSGVO nicht beantwortet wird, sollten die Gründe dafür vom Verantwortlichen in jedem Fall aber nachvollziehbar dokumentiert werden; dies bereits deswegen, um der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachkommen zu können. Gemäß Art. 12 Abs. 5 S. 3 DSGVO hat zudem stets der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu bringen.

Innerhalb welcher Frist ist das Auskunftsverlangen zu beantworten?

Nach Art. 12 Abs. 3 DSGVO ist der Auskunftsanspruch stets unverzüglich, spätestens innerhalb Monatsfrist nach Eingang des Antrags zu erfüllen.

Nach Art. 12 Abs. 3 S. 2 DSGVO kann diese Frist um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. In diesem Fall muss der Verantwortliche den Betroffenen innerhalb eines Monats nach dem Eingang des Antrags über die Fristverlängerung, zusammen mit den Gründen für die Verzögerung unterrichten (Art. 12 Abs. 3 S. 3 DSGVO).

Fazit: Wie lautet die aktuelle Empfehlung zur Strukturierung des Auskunftsprozesses?

Auf Grund der nicht einheitlichen Rechtsprechung ist eine rechtssichere Empfehlung zu einer Struktur des Auskunftsprozesses nicht möglich.

Der wohl effektivste und zumindest vertretbare Weg zur Erfüllung des Anspruchs dürfte aktuell aber folgende Vorgehensweise sein:

Das Auskunftsverlangen wird auf die Identität des Antragstellers hin überprüft und im Rahmen des Fristenmanagements bearbeitet.

Dem Betroffenen werden die in Art. 15 Abs. 1 genannten Informationen (am effektivsten in Gestalt eines vorzuhaltenen Musters) zur Verfügung gestellt und ihm wird eine Kopie der personenbezogenen Daten bereitgestellt, die die verarbeiteten Stammdaten enthält. Der Betroffene sollte außerdem aufgefordert werden, sein Auskunftsverlangen ggf. zu konkretisieren, insbesondere hinsichtlich des Zwecks seiner Anfrage.

Vor der Erteilung weitergehender Auskünfte sollte die dokumentierte Prüfung erfolgen, ob das weitergehende Auskunftsersuchen ggf. offensichtlich unbegründet oder exzessiv ist. Im Falle eines nicht nachweisbar illegitimen Zwecks sind dem Betroffenen die weiteren relevanten Informationen zur Verfügung zu stellen.

In Zweifelsfällen oder in konkreten Streitfällen sollte die Rücksprache/Abstimmung mit der zuständigen Aufsichtsbehörde erfolgen.

Welche Schadenersatzansprüche drohen bei der Verletzung des Auskunftsanspruchs?

Schadenersatzansprüche wegen der Verletzung des Auskunftsanspruchs nach Art. 15 DSGVO wurden bereits in den Entscheidungen des ArbG Düsseldorf im Urteil vom 05.03.2020, Az Ca 6557/18 und des ArbG Neumünster im Urteil vom 11.08.2020, Az Ca 247c/20 ausgeurteilt. Im Fall des ArbG Düsseldorf war streitgegenständlich eine unvollständige und verspätete Auskunftserteilung nach Art. 15 DSGVO, wobei dem Betroffenen ein Schadenersatzanspruch in Höhe von 5.000 € zugesprochen wurde; im Fall des ArbG Neumünster wurde dem Betroffenen für die verspätete Bereitstellung der Auskunft nach Art. 15 DSGVO ein Schadenersatzanspruch in Höhe von 1.500 € zugesprochen.

In den jeweiligen Entscheidungen wurden keine materiellen, sondern immaterielle Schäden festgestellt. Von den Gerichten wurde jeweils in Anlehnung an Erwägungsgrund 146 zur DSGVO festgestellt, dass der Begriff des Schadens weit- und auf eine Art und Weise auszulegen ist, die den Zielen der DSGVO in vollem Umfang entspricht. Danach entstünde ein immaterieller Schaden nicht nur dann, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren.

Bei der Höhe des zuerkannten Schadenersatzanspruchs gingen die erkennenden Gerichte davon aus, dass Gerichte sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 Abs. 2 DSGVO orientieren können, sodass als Zumessungskriterien unter anderem Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können.

An der vorskizzierten Auslegung des Schadensbegriffs anhand der Wertungen der Bußgeldnorm des Art. 83 DSGVO kann man zweifeln, weil Art. 83 DSGVO ausdrücklich vorsieht, dass Bußgelder abschreckend wirken sollen. Eine analoge Regelung enthält die Regelung zum Schadenersatz in Art. 82 DSGVO gerade nicht.

Die Rechtsprechung zu Schadenersatzansprüchen nach der DSGVO liegt bislang aber erst so fragmentarisch vor, dass man aktuell noch keinen Trend im Hinblick auf eine dogmatische Meinungsbildung erkennen kann. Insoweit bleibt die künftige Rechtsprechung innerhalb Deutschlands und innerhalb der EU schlicht abzuwarten.

Autor: GROSS Rechtsanwaltsgesellschaft

Bildnachweis: Pixabay