Umfang des Auskunftsanspruchs nach Art. 15 DSGVO

Das Oberlandesgericht Köln hat sich im Urteil vom 26.7.2019 – 20 U 75/18 – mit dem Umfang des Auskunftsanspruchs nach Art. 15 DSGVO befasst.

Inhalt der einschlägigen Norm / Sachverhalt

Nach dieser Vorschrift hat jede betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie u.a. ein Recht auf Auskunft über diese personenbezogenen Daten. Der Begriff ist weit gefasst und umfasst nach der Legaldefinition in Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Im entschiedenen Fall begehrte ein Versicherungsnehmer gegenüber seiner Versicherung Erteilung einer vollständigen Auskunft zu den ihn betreffenden personenbezogenen Daten begehrt, welche das Versicherungsunternehmen gespeichert, genutzt und verarbeitet hat.

Entscheidung des Gerichts

Nach dem Urteil ist der Begriff der „personenbezogenen Daten“ nach Art. 4 DSGVO weit gefasst. Er enthalte außer den im Kontext verwendeten Identifikationsmerkmalen (z.B. Name, Anschrift und Geburtsdatum) und äußeren Merkmalen (wie Geschlecht, Augenfarbe, Größe und Gewicht) auch innere Zustände (z.B. Meinungen, Motive, Wünsche, Überzeugungen und Werturteile) sowie sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Personenbezug haben danach letztendlich alle Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern.

Art. 15 DSGVO erfasse daher nicht nur Stammdaten. Der Auskunftspflicht würden auch elektronisch gespeicherte Vermerke zu den mit dem Versicherungsnehmer geführten Telefonaten und sonstigen Gesprächen unterliegen, soweit Aussagen des Betroffenen oder über diesen festgehalten sind.

Zu beachten sind die Ausführungen des Gerichts, wonach der Einwand des Unternehmens, dass es aufgrund der Verwaltung des umfangreichen Datenbestandes, wirtschaftlich unmöglich sei, Dateien auf personenbezogene Daten zu durchsuchen und zu sichern, unbeachtlich sei. Es sei Sache des Verantwortlichen, der sich der elektronischen Datenverarbeitung bedient, diese im Einklang mit der Rechtsordnung zu organisieren und insbesondere dafür Sorge zu tragen, dass dem Datenschutz und den sich hieraus ergebenden Rechten Dritter Rechnung getragen wird.

Ausblick

Das OLG Köln hat zur Frage des Umfangs des Auskunftsanspruchs nach Art. 15 DSGVO die Revision zum BGH zugelassen, weil dieser Rechtsfrage grundlegende Bedeutung zukomme und die Fragestellung in einer unbestimmten Vielzahl von Fällen zu erwarten ist.

Ob sich die Entscheidung ohne Weiteres auf das Verhältnis zwischen Mieter und Vermieter übertragen lässt ist nach unserer Auffassung fraglich. So dürften Informationen im Mietverhältnis mit subjektiven oder objektiven Einschätzungen zum betroffenen Mieter weniger Relevanz und Sensibilität aufweisen, als zwischen Versicherer und Versicherungsnehmer oder auch zwischen Arbeitgeber und -nehmer.
Gleichwohl ist das Urteil vorbehaltlich der zu erwartenden Entscheidung des BGH derzeit als richtungsweisend zu beurteilen.

Empfehlung

Auch das OLG-Urteil zeigt, dass es zielführend ist, so wenig wie möglich Datenmaterial mit Bezug zur Person des Mieters zu sammeln und nicht mehr benötigte Daten zeitnah zu löschen.
Sofern der Betroffene ein Auskunftsersuchen stellt, empfiehlt sich folgende Vorgehensweise:

Schritt 1: Ermittlung personelle Auskunftsberechtigung
Zunächst zweifelsfreie Feststellung der Identität des Anfragenden. Dies gilt insb. bei Anfrage per E-Mail. Erfolgt das Auskunftsverlangen nicht vom Mieter selbst, ist die Bevollmächtigung oder sonstige Berechtigung zu prüfen und gegebenenfalls zurückzuweisen.

Schritt 2: Stammdaten und Metainformation
Sofern die Auskunftsberechtigung des Verlangenden feststeht, sollten die Stammdaten und die Metainformation der Datenverarbeitung nach § 15 DSGVO übermittelt werden, also:

• Verarbeitungszwecke,
• Kategorien der Daten, die verarbeitet wurden,
• Empfänger und Kategorien von Empfängern, den personenbezogene Daten offengelegt werden,
• geplante Dauer der Datenspeicherung,
• Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung sowie Widerspruchsrecht,
• Beschwerderecht bei Aufsichtsbehörde,
• Information über Herkunft der Daten,
• Bestehen von automatisierter Entscheidungsfindung und Profiling,
• geeignete Garantien bei Übermittlung an Drittland oder internationale Organisation,
• Mitteilung Stammdaten und Angaben nach Art. 15 Abs. 1 DSGVO.

Schritt 3: Kopie aller Daten
Art. 15 III DSGVO trifft keine Einschränkungen zum Umfang der auf ersten Antrag hin zu übermittelnden Kopien. Vor dem Hintergrund der weiten Auslegung im zitierten OLG-Urteil wäre demnach unmittelbar eine Kopie aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu übermitteln.

Wenn die Auskunft und Datenzusammenstellung aufgrund interner Verwaltungs- bzw. Organisationsabläufe einen erheblichen Aufwand darstellt, kann erwogen werden, erst auf konkrete Nachfrage bzw. ausdrückliches Verlangen eine Kopie aller über die Stammdaten und Metainformationen hinausgehenden Daten anzufertigen und auszuhändigen. Gleichwohl ergibt sich dabei das Risiko, dass bei nicht vollständiger Auskunft in Form einer Kopie aller personenbezogenen Daten auf ersten Antrag hin, sich der Betroffene an die Datenschutzbehörde wendet und diese ggf. die nicht vollständige Auskunft mit einer Geldbuße nach Art. 83 V lit. b DSGVO ahndet.

Die Auskunftserteilung erfolgt nach Art. 12 V 1 DSGVO unentgeltlich. Sofern der Betroffene mehrere Kopien beantragt, kann der Verantwortliche nach Art. 15 III 2 DSGVO für jede weitere Kopie ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen. Bei offenkundig unbegründeten oder exzessiven Anträgen kann gleichfalls ein angemessenes Entgelt verlangt oder sich geweigert werden, aufgrund des Antrags tätig zu werden.

Schließlich ist nach Art. 15 IV DSGVO darauf zu achten, dass das Recht des Betroffenen auf Erhalt einer Kopie nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf. In Betracht kommen u.a. Geschäftsgeheimnisse, Rechte des geistigen Eigentums, etc. Entsprechende Informationen zu Dritten sind ggf. in der Auskunft zu entfernen oder zu schwärzen.

Autor: GROSS Rechtsanwaltsgesellschaft mbH

Bildnachweis: Pixabay