Mit Urteil vom 15. Juni 2021 hat der BGH über die Reichweite des Auskunftsanspruchs in der DSGVO entschieden. Die Entscheidung schafft mehr Rechtssicherheit und ist sehr betroffenenfreundlich.
Auskunft nach Art. 15 DSGVO – was ist das und wie geht das?
Mit Art. 15 DSGVO schafft die EU-Datenschutzgrundverordnung ein Recht eines jeden, von einem anderen eine Auskunft über die zur eigenen Person verarbeiteten personenbezogenen Daten zu erhalten. Dieser Auskunftsanspruch kann für Betroffene sehr einfach ausgeübt werden, insbesondere gibt es keine Formvorschriften. Die Auskunft kann schriftlich, persönlich (mündlich), telefonisch oder auch per E-Mail verlangt werden. Der Verantwortliche hat die Auskunft unverzüglich, spätestens aber binnen eines Monats zu erteilen, Art. 12 Abs. 3 S. 1 DSGVO. Diese Frist kann im Einzelfall auf drei Monate verlängert werden.
Kein Grund erforderlich
Dabei ist wichtig, dass kein Grund genannt werden muss, warum die Auskunft begehrt werden kann. Die Auskunft soll vielmehr unter anderem dazu dienen, zu prüfen, ob die Verarbeitung von personenbezogenen Daten rechtmäßig erfolgt.
Aufwand für Unternehmen
Für Unternehmen kann der Auskunftsanspruch erheblichen Aufwand bedeuten, wenn man sich nicht schon in den letzten Jahren dazu Gedanken gemacht hat, wie ein effektives Auskunftsverfahren implementiert werden kann, dann ist nämlich in der Regel viel manueller Aufwand zur Auskunftserteilung zu betreiben.
Tricksereien, um Anfragende abzuwimmeln
Unternehmen haben sich daher in den letzten Jahren immer neue Ideen einfallen lassen, wie man den Auskunftsanspruch „bremst“. Gängig ist das Verweisen auf bestimmte Anfrageformulare (rechtswidrig), das Verlangen zusätzlicher Angaben zur Identifikation (z.B. Ausweiskopie, in vielen Fällen rechtswidrig) oder der Klassiker: Eine sehr sehr oberflächliche Auskunft. Unternehmen werden auch nicht müde, faule Ausreden zu präsentieren („Schriftverkehr zwischen Ihnen und uns liegt ja bereits vor!“).
Reichweite des Auskunftsanspruchs: Grundsätzlich weitgehend
Der BGH hat sich nun aktuell damit auseinandersetzen müssen, wie weit der Auskunftsanspruch reicht. Dabei geht er im Einklang mit der Rechtsprechung des Europäischen Gerichtshofs hier von einem weiten Umfang aus:
Gemäß Art. 4 Nr. 1 Halbsatz 1 DS-GVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dieser Definition und der Rechtsprechung des Gerichtshofs der Europäischen Union ist der Begriff weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist
Soweit die Revisionserwiderung meint, Art. 15 DS-GVO sei im Hinblick auf den Begriff der „personenbezogenen Daten“ teleologisch dahingehend zu reduzieren, dass der Personenbezug im Rahmen von Art. 15 DS-GVO voraussetze, dass es um „signifikante biografische Informationen“ gehe, die „im Vordergrund“ des fraglichen Dokuments stünden[…], ist diese Auffassung mit der zitierten Rechtsprechung des Gerichtshofs der Europäischen Union, die sich zweifelsfrei auf den Begriff der personenbezogenen Daten im Sinne des Art. 15 i.V.m. Art. 4 Nr. 1 Halbsatz 1 DS-GVO übertragen lässt, ersichtlich nicht zu vereinbaren
Schriftverkehr: Grundsätzlich zu beauskunften
Für gewechselten Schriftverkehr bejaht der BGH einen Auskunftsanspruch grundsätzlich:
„Schreiben des Klägers an die Beklagte sind grundsätzlich ihrem gesamten Inhalt nach als personenbezogene Daten gemäß Art. 4 Nr. 1 DS-GVO anzusehen. Die personenbezogene Information besteht bereits darin, dass sich der Kläger dem Schreiben gemäß geäußert hat […] Auch die Schreiben der Beklagten an den Kläger unterfallen dem Auskunftsanspruch insoweit, als sie Informationen über den Kläger nach den oben genannten Kriterien enthalten. Dass die Schreiben dem Kläger bereits bekannt sind, schließt für sich genommen entgegen der Auffassung des Berufungsgerichts den datenschutzrechtlichen Auskunftsanspruch nicht aus […] Die Beklagte soll Auskunft darüber geben, ob sie die im Schriftverkehr enthaltenen personenbezogenen Daten aktuell verarbeitet, insbesondere speichert. Die Auskunft soll den Kläger, wie bereits dargelegt, in die Lage versetzen, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Er soll sich insbesondere vergewissern können, dass die ihn betreffenden Daten richtig sind und in zulässigerweise verarbeitet werden […]. Das etwaige Bewusstsein des Klägers, dass die fragliche Korrespondenz einst gewechselt wurde, genügt insoweit nicht. Zu beachten ist ferner, dass der Auskunftsberechtigte grundsätzlich wiederholt Auskunft verlangen kann (vgl. Erwägungsgrund 63 Satz 1, Art. 12 Abs. 5 Satz 2 DS-GVO). Dies spricht ebenfalls gegen die Auffassung des Berufungsgerichts, das Auskunftsrecht nach Art. 15 DS-GVO beschränke sich auf Daten, die dem Betroffenen noch nicht bekannt sind. Daher sind auch etwaige Zweitschriften und Nachträge zu dem Versicherungsschein, auf die sich das Auskunftsbegehren des Klägers ausweislich des Sitzungsprotokolls mit erstreckt, nicht grundsätzlich vom datenschutzrechtlichen Auskunftsanspruch ausgeschlossen, soweit die darin enthaltenen personenbezogenen Daten bei der Beklagten verarbeitet werden. Dementsprechend ist auch nicht ersichtlich, warum bei der Beklagten verarbeitete Daten über Prämienzahlungen des Klägers nicht grundsätzlich Gegenstand des Auskunftsanspruchs sein sollten.“
Interne Vermerke / Kommunikation über den Betroffenen
Auch interne Vermerke, lange Streitpunkt, weil Unternehmen hier Nachteile befürchten, sind zu beauskunften:
„Interne Vermerke oder interne Kommunikation bei der Beklagten, die Informationen über den Kläger enthalten, kommen als Gegenstand des Auskunftsanspruchs nach Art. 15 Abs. 1 DS-GVO ebenfalls grundsätzlich in Betracht. Dies ist beispielsweise entsprechend der Beurteilung der Schreiben des Klägers bei Vermerken der Fall, die festhaften, wie sich der Kläger telefonisch oder in persönlichen Gesprächen geäußert hat[…]. Auch Vermerke über den Gesundheitszustand des Klägers enthalten personenbezogene Daten. Die Erwägung des Berufungsgerichts, es handele sich bei Vermerken um „interne Vorgänge der Beklagten“, ist im Hinblick auf den Begriff der personenbezogenen Daten ohne Relevanz. Der Auskunftsanspruch gemäß Art. 15 Abs. 1 DS-GVO setzt offensichtlich weder nach seinem Wortlaut noch nach Sinn und Zweck voraus, dass die fraglichen Daten extern zugänglich sind.“
Fazit: Stärkung von Betroffenenrechten
Wenn auch der Bundesgerichtshof einige Hintertüren für Ausnahmen offengelassen hat, stärkt die Entscheidung Betroffene in der Durchsetzung ihrer Rechte. Unternehmen, die lediglich oberflächliche Auskünfte erteilen, droht eine gerichtliche Inanspruchnahme auf Auskunft, zudem ist durch den konkretisierten Rahmen der geschuldeten Auskünfte auch der Weg für Schadensersatzansprüche gem. Art. 82 DSGVO oder auch Verfahren der Aufsichtsbehörden geöffnet.
BGH, Urt. v. 15.06.2021, VI ZR 576/19
