Der Auskunftsanspruch nach Art. 15 DSGVO und seine Grenzen gemäß LG Köln

Die Datenschutz-Grundverordnung (DSGVO) gibt jeder natürlichen Person ein Recht darauf, zu erfahren, wer welche personenbezogenen Daten über sie gespeichert hat. Seit der Einführung dieses Auskunftsanspruches besteht in Praxis und Rechtsprechung immer wieder Streit darüber, welche konkreten Daten vom Betroffenen berechtigterweise abgefragt werden können. Über den Umfang eines Auskunftsanspruches hatte jüngst auch Landgericht Köln mit Urteil vom 18.03.2019 (Az. 26 O 25/18) zu entscheiden. Die IT-Recht Kanzlei stellt das Urteil vor und gibt im Anschluss einen Überblick über die Reichweite des Auskunftsanspruches.

I. Der Fall

Der Kläger begehrte von der Beklagten, bei der er zwei Lebensversicherungsverträge unterhielt, die Auskunft über die dort zu ihm gespeicherten Daten. Die von der Beklagten zuvor erteilten Auskünfte bezüglich seiner personenbezogenen Daten erschienen dem Kläger als unzureichend, weil er mit seinem Datenauskunftsgesuch auch die Übermittlung interner Vermerke und von Kopien jeglichen jemals gewechselten Schriftverkehrs begehrte. Als die Beklagte ihm dies verweigerte, legte er Klage beim Landgericht Köln ein.

II. Die Entscheidung

Das Landgericht wies die Klage ab und führte Folgendes zu Art und Umfang des Auskunftsanspruches aus:

„Gemäß Art. 15 Abs. 1 DS-GVO steht der betroffenen Person ein umfassender Anspruch auf Auskunft über verarbeitete sie betreffende personenbezogene Daten sowie weitere Informationen zu. Die Information muss u.a. auch die Verarbeitungszwecke (...), die Empfänger von Daten (...) und die geplante Dauer der Speicherung (...) enthalten. Gemäß Artikel 4 Nr. 1 DSGVO sind „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Eine „Verarbeitung von Daten“ stellt gemäß Artikel 4 Nr. 2 DSGVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Insofern ergibt sich ein umfassendes Auskunftsrecht bezogen auf die gespeicherten bzw. verarbeiteten personenbezogenen Daten. Dies beinhaltet Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw.“

Das Gericht stellte allerdings klar, dass in Art. 15 DSGVO jedoch kein genereller allumfassender Auskunftsanspruch zu sehen sei. Vom Auskunftsanspruch erfassten seien lediglich personenbezogenen Daten. Sonstige Daten, insbesondere für interne Zwecke gespeicherte Vorgänge über den Auskunftssteller, unterlägen nicht der Auskunftspflicht.

„Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann (...). Rechtliche Bewertungen oder Analysen stellen insofern ebenfalls keine personenbezogenen Daten in diesem Sinne dar.“

Dies liege, laut dem Gericht, bereits im Zweck des Art. 15 DS-GVO begründet:

„Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DSGVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält.“

III. Übersicht zum Auskunftsanspruch

Wer kann einen Auskunftsanspruch geltend machen? Bedarf dies einer bestimmten Form? In welcher Form muss Auskunft erteilt werden und besteht hierfür eine Frist? Über welche Daten muss Auskunft gegeben werden? Da der Auskunftsanspruch in der Praxis bei den Betroffenen immer wieder Fragen aufwirft, stellt Ihnen die IT-Recht Kanzlei nachfolgend eine kompakte Übersicht über Art und Umfang des Auskunftsanspruches aus Art. 15 DSGVO zur Verfügung.

1. Wer kann den Auskunftsanspruch geltend machen?

Das Auskunftsrecht steht jedem „Betroffenen“ oder von ihm zu diesem Zwecke Bevollmächtigten zu, d.h. jeder bestimmten oder bestimmbaren natürlichen Person. Dies gilt unabhängig vom Wohnsitz der Person und unabhängig von deren Nationalität.

2. Wie kann der Auskunftsanspruch geltend gemacht werden?

Das Auskunftsrecht wird auf Antrag gewährt. Ein bestimmtes Form- oder Begründungserfordernis besteht nicht.

3. Form und Frist der Auskunftserteilung

Nach Art. 12 DSGVO trifft den Verantwortlichen die Pflicht, die Informationen in präziser, transparenter, verständlicher, leicht zugänglicher Form und in einer klaren und einfachen Sprache zu übermitteln. Die Informationen können schriftlich oder in elektronischer Form erteilt werden. Denkbar ist auch, einen Fernzugang zu einem sicheren System einzurichten, das der betroffenen Person Zugang zu ihren personenbezogenen Daten gewährt. Sofern die Identität der auskunftsersuchenden Person zweifelsfrei nachgewiesen wurde, kann die Information auch mündlich erteilt werden, sofern dies verlangt wird.

Die Informationen sind dem Antragssteller unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen, Art. 12 Absatz 3 DSGVO. In komplexen Fällen kann diese Frist um zwei weitere Monate verlängert werden. Dies ist dem Betroffenen jedoch innerhalb eines Monats, unter Angaben von Gründen, mitzuteilen.

4. Wer trägt die Kosten, die durch das Auskunftsverlangen entstehen?

Der Auskunftserstatter ist gemäß Art. 12 Abs. 5 DSGVO grundsätzlich verpflichtet, Betroffenen sämtliche Informationen, Mitteilungen und Maßnahmen unentgeltlich zur Verfügung zu stellen. Sowohl Datenschutzhinweise und Statusbenachrichtigungen als auch Mitteilungen bei der Befolgung von Betroffenenrechten dürfen den Betroffenen also prinzipiell nicht berechnet werden.

Eine Ausnahme trifft Art. 15 Abs. 3 Satz 2 DSGVO im Zusammenhang mit dem Auskunftsrecht für den Fall, dass neben der ersten Kopie mit Informationen über die Art und dem Umfang der Verwendung personenbezogener Daten weitere Kopien verlangt werden. Hier kann der Verantwortliche ein angemessenes Entgelt in Rechnung stellen.

Eine weitere Ausnahme sieht Art. 12 Abs. 5 Satz 2 lit. a DSGVO im Falle des Vorliegens exzessiver oder unbegründeter Anträge vor. Anstatt die Erfüllung zu verweigern, kann der Auskunftspflichtige für sein Tätigwerden wahlweise ein angemessenes Entgelt verlangen. Entscheidet er sich anstatt des Untätigbleibens für die Entgeltlichkeit, kann er sein Tätigwerden von der vorherigen Begleichung des verlangten Entgeltes abhängig machen.

Der Entgeltanspruch ist auf die direkt zurechenbaren Kosten beschränkt und umfasst somit allein Verwaltungskosten für die Unterrichtung, Mitteilung und/oder Durchführung der beantragten Maßnahme sowie Material- und Portokosten bzw. Personal- oder Maschinenkosten für den konkreten Antragslauf (Gola, DSGVO, Art. 12, Rn. 39).

Allgemeine Personal- und Betriebskosten sind demgegenüber nicht ersatzfähig.

5. Inhalt der Auskunft

Das Auskunftsrecht gliedert sich in zwei Stufen. Zunächst hat der Betroffene Anspruch darauf zu erfahren ob überhaupt personenbezogene Daten von ihm erhoben und gespeichert wurden. In einem zweiten Schritt hat er, wenn dies der Fall ist, einen Anspruch auf Auskunft über diese Daten bzw., wenn keine Daten von ihm verarbeitet werden, einen Anspruch auf Information darüber (sog. Negativauskunft).

Gemäß Art. 15 DSGVO hat der Anspruchsgegner folgende Informationen bereit zu stellen:

• Zwecke der Verarbeitung
• Kategorien personenbezogener Daten, die verarbeitet werden
• Empfänger oder Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig erhalten werden
• geplante Speicherdauer falls möglich, andernfalls die Kriterien für die Festlegung der Speicherdauer
• Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung der Verarbeitung oder eines Widerspruchsrecht gegen diese Verarbeitung
• Bestehen eines Beschwerderechts bei der Aufsichtsbehörde
• die Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst erhoben wurden
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren

6. Ausnahmen zum Auskunftsanspruch

Nicht jeder Antrag der betroffenen Person verpflichtet den Auskunftspflichtigen zum Tätigwerden. Insofern werden in Art. 12 Abs. 2 Satz 2 und Abs. 5 DSGVO und in Art. 15 Abs. 4 DSGVO sowie § 34 BDSG (neu) Gründe festgelegt, die ein Untätigbleiben rechtfertigen und mithin ein Auskunftsverweigerungsrecht etablieren.

Liegen die Voraussetzungen nach den genannten Vorschriften vor, ist der Händler weder zur Statusbenachrichtigung noch zur Beschäftigung mit dem jeweiligen Betroffenenantrag verpflichtet. Folgend haben wir die wichtigsten Gründe hierzu aufgelistet:

a) Der Betroffene ist nicht identifizierbar, Art. 12 Abs. 6 DSVGO

Dem Verantwortlichen ist es gestattet, das Tätigwerden aufgrund eines Betroffenenantrags zu verweigern, wenn es ihm nicht möglich ist, die betroffene Person zu identifizieren. Der Betroffene ist daher verpflichtet, ausreichende Angaben zur Verfügung zu stellen, die es dem Anspruchsgegner ermöglichen, ihn zweifelsfrei zu identifizieren und zuzuordnen zu können.

b) Exzessive Anträge oder unbegründete Anträge, Art. 12 Abs. 5 DSVGO

Das Recht zum Untätigbleiben steht dem Verantwortlichen ferner zu, wenn ein Betroffener ein exzessives Antragsverhalten an den Tag legt oder offenkundig unbegründete Anträge stellt.

Exzessiv ist ein Antrag gemäß Art. 12 Abs. 5 Satz 2 DSGVO dann, wenn er zu häufig wiederholt wird. Begründet wird die Exzessivität nur dann, wenn derselbe Antrag zu oft gestellt wird. Die Ausübung verschiedener Betroffenenrechte mittels diverser, unterschiedlicher Anträge begründet ein Leistungsverweigerungsrecht des Verantwortlichen dahingegen nicht. Als Richtlinie für die Beurteilung der zu häufigen Wiederholung wird in der Literatur empfohlen, mehr als eine Anfrage pro Quartal als exzessiv zu beurteilen (Gola, DS-GVO, Art. 12, Rn. 34).

Offensichtlich unbegründet ist ein Antrag, wenn die Tatbestandsvoraussetzungen für die Ausübung eines Betroffenenrechts auf den ersten Blick erkennbar nicht vorliegen.

Nach Art. 12 Abs. 4 DSGVO ist er aber gehalten, spätestens innerhalb eines Monats nach Eingang des Antrags über die Gründe des Untätigbleibens sowie über die Beschwerdemöglichkeit bei einer Aufsichtsbehörde zu informieren.

c) Beeinträchtigung von Rechten und Freiheiten anderer Personen, Art. 15 Abs. 4 DSGVO

Gemäß Art. 15 Abs. 4 DSGVO kann von einer Auskunftserteilung ausnahmsweise auch dann abgesehen werden, wenn dies die Rechte und Freiheiten anderer Personen beeinträchtigen würde. Diese umfassen beispielsweise etwa Geschäftsgeheimnisse, Rechte des geistigen Eigentums oder Datenschutz

d) Einschränkungen und Ausnahmen nach § 34 BDSG

Gemäß § 34 BDSG besteht kein Recht auf Auskunft, wenn die betroffene Person nach § 33 Abs. 1 Nr. 1, 2 Buchstabe b oder Abs. 3 BDSG nicht zu informieren ist, oder die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung oder Datenschutzkontrolle dienen. Auch müsste die Auskunftserteilung dann einen unverhältnismäßigen Aufwand darstellen.

IV. Fazit und Hinweis auf Muster zum Auskunftsverlangen

Der Auskunftsanspruch hält in der Praxis für die Verantwortlichen den ein oder anderen juristischen Fallstrick bereit. Macht man sich jedoch ein paar Eckpunkte dieses noch jungen Anspruches aus der DSGVO bewusst, sollte das Auskunftsprozedere jedoch in den meisten Fällen keine Probleme bereiten. Positiv zu bewerten ist das Urteil des Landgerichts Köln, das den Umfang der Auskunftspflicht auf personenbezogene Daten begrenzt und den Anwender davon freistellt, darüber hinausgehende Vermerke und Korrespondenzen herauszugeben.

Zum Zwecke einer schnellen und rechtssicheren Bearbeitung von Auskunftsverlangen stellt die IT-Recht Kanzlei exklusiv für ihre Mandanten Musterauskunftsmitteilungen in drei verschiedenen Sprachen (Deutsch, Englisch, Französisch) zur Verfügung.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.