Seit dem Inkrafttreten der Datenschutzgrundverordnung („DSGVO“) kommen für Rechtsanwender neue Herausforderungen in dem Umgang mit persönlichen Daten einher. Von großer Bedeutung ist hierbei der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO, der seither mit großer Unsicherheit verbunden ist. Der Bundesgerichtshofs (BGH) entschied in einem aktuellen Urteil über die Reichweite des Art. 15 Abs. 1 DSGVO (BGH, Urteil vom 15.06.2021 – VI ZR 576/19).
Was besagt der Art. 15 Abs. 1 DSGVO?
Wie aus dem Wortlaut hervorgeht, verschafft Art. 15 Abs. 1 DSGVO betroffenen Personen ein Recht auf Auskunft über die Verarbeitung derer Daten. Dabei ist der Anspruch dreigeteilt: Betroffene Personen haben das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob dessen Daten verarbeitet werden. Falls ja, so hat er das Recht Auskunft über diese Daten zu erhalten. Zusätzlich kann er nach Art. 15 Abs. 3 DSGVO den Erhalt einer Kopie der verarbeiteten Daten fordern. Der Anspruch auf Erteilung einer Kopie folgt dabei in dem Umfang dem Auskunftsanspruch.
Nach jüngstem Urteil des BGH müssen den betroffenen Personen künftig sehr umfassende Auskünfte erteilt werden. Neu ist vor allem, dass jetzt auch eine Auskunft über interne oder der betroffenen Person bereits bekannte Vorgänge erteilt werden muss.
Hintergrund
Geklagt hatte ein Mann, der im Jahr 1997 einen Vertrag über eine Lebensversicherung bei der Beklagten abschloss. Im Jahr 2016 widersprach der Kläger dem Zustandekommen des Vertrags. Nachdem der Beklagte – ein Versicherungsunternehmen – den Widerspruch zurückwies, forderte der Mann zunächst eine Datenauskunft im Sinne von § 34 Bundesdatenschutzgesetz („BDSG“). Erstinstanzlich wurde die Klage zunächst abgelehnt. Vor dem BGH hatte die Revision des Mannes jedoch größtenteils Erfolg; das Versicherungsunternehmen habe den Auskunftsanspruch bisher nicht ausreichend erfüllt. Es fehlen Auskünfte über die Korrespondenz mit dem Versicherten und zu internen Vermerken.
Weite Auslegung personenbezogener Daten
In der Revision hatte sich der BGH im Kern mit der Frage zu beschäftigen, wie weit der Begriff der „personenbezogenen Daten“ im Sinne des Art. 4 Nr. 1 Hs. 1 DSGVO verstanden werden soll.
Zunächst ist festzuhalten, dass unter personenbezogenen Daten alle Informationen zu fassen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Weitergehend stützt sich der BGH auf die Definition des europäischen Gerichtshofs (EuGH, Urteil vom 20. Dezember 2017 – C-434/16). Danach solle der Begriff der personenbezogenen Daten nicht nur auf sensible oder private Informationen beschränkt sein, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt.
Auch der Wortlaut der Norm spreche für eine weite Auslegung, denn Art. 4 Nr. 1 Hs. 1 DSGVO definiert personenbezogene Daten ohne Beschränkung auf sensible oder besonders persönliche Informationen. Gestützt werde ein weites Begriffsverständnis darüber hinaus vom Erwägungsgrund 63 S. 1 der DSGVO, der als Zweck des Auskunftsrechts festlegt, dass die betroffene Person über die Verarbeitung bewusst werden und die Rechtmäßigkeit der Verarbeitung überprüfen können soll.
Keine Beschränkung auf extern zugängliche Daten
Der BGH lehnt ebenfalls eine Beschränkung des Anspruchs auf extern zugängliche Daten ab. Dies begründete dieser mit dem Wortlaut der Norm, sowie Sinn und Zweck des Auskunftsanspruchs. Es sei daher auch Auskunft über interne Vermerke und interne Kommunikation des Verantwortlichen zu erteilen.
Eine Grenze wird jedoch gezogen, wenn bei internen Vorgängen eine rechtliche Bewertung vorgenommen wird. Dass eine rechtliche Bewertung erfolgt, zählt als Zweck der Datenverarbeitung, worüber auch Auskunft erteilt werden muss. Das Ergebnis einer etwaigen rechtlichen Beurteilung jedoch stellt selbst kein personenbezogenes Datum dar und ist somit auch nicht vom Auskunftsanspruch erfasst.
Ebenso soll ein wiederholtes Auskunftsbegehren möglich sein, der BGH verweist dabei ebenfalls auf Erwägungsgrund 63 der DSGVO. Der Auskunftsanspruch ist nach Sicht des BGH auch nicht deshalb ausgeschlossen, wenn der betroffenen Person begehrte Informationen bereits bekannt sind.
Im Ergebnis besagt das BGH-Urteil also, dass betroffene Personen nach Art. 15 DSGVO ein umfassendes Auskunftsrecht haben. Davon betroffen sind die vergangene Korrespondenz der Parteien, interne Vermerke sowie interne Kommunikation des Verantwortlichen und letztlich auch bereits bekannte Daten. Und zu alledem können betroffene Personen eine Kopie fordern.
Unternehmersicht
Für Unternehmen kann der Auskunftsanspruch einen erheblichen Mehraufwand bedeuten. Dies gilt vor allem für großorganisierte Unternehmen, bei denen Unterlagen mit personenbezogenen Daten in unterschiedlichen Abteilungen erfasst und verarbeitet werden. Darüber hinaus müssen alle Unterlagen, die Informationen in Bezug zu einer Person beinhalten, danach geprüft werden, ob diese überhaupt Gegenstand des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO sind. Denn nicht alle Dokumente in Bezug auf betroffene Personen sind gleichzusetzen mit personenbezogenen Daten. Ausgenommen sind mitunter rechtliche Analysen und Beurteilungen.
Der Mehraufwand des Ankunftsbegehrens hat darüber hinaus zur Folge, dass die knappe Monatsfrist unter Umständen gar nicht eingehalten werden kann. Für Verantwortliche sind nach dem BGH Urteil zahlreiche Unterlagen, wie etwa Korrespondenzen, Vermerke, Bewertungen, etc. herauszugeben. Schon alleine das Zusammentragen dieser Unterlagen kann einen nicht geringen Aufwand darstellen. Im nächsten Schritt muss dann überprüft werden, welche Unterlagen konkret herausgegeben werden müssen bzw. dürfen und welche Informationen geschwärzt werden müssen. Es ist strengstens darauf zu achten, dass keine Informationen von Dritten oder Betriebsgeheimnisse im Zuge des Auskunftsanspruchs herausgegeben werden.
Es lohnt sich also, ein effektives und praktisches Auskunftsverfahren zu implementieren. Dies gilt schon alleine aus dem Grund, dass Verstoße gegen das Auskunftsbegehren oder auch eine unzureichende Auskunft mit teils hohen Bußgeldern und Schadensersatzansprüchen nach Art. 82 DSGVO sanktioniert werden können. Wird eine Auskunft gar nicht erteilt, so droht eine gerichtliche Inanspruchnahme auf Auskunft. Unternehmen sollten daher unbedingt die weitere Entwicklung bezüglich des Auskunftsanspruchs im Auge behalten.
Fazit: Stärkung von Betroffenenrechten
Aus Sicht der betroffenen Personen ist die Entwicklung äußerst erfreulich, ihre Rechtsposition wurde durch die gestiegene Reichweite des Auskunftsanspruchs gestärkt. Schadensersatzansprüche dürfen künftig wohl einfacher und schneller umzusetzen sein. Für Unternehmen ist das neue Urteil aber deutlich weniger praktikabel. Eine oberflächliche Auskunft kann schnell zu monetären Sanktionen führen. Nachvollziehbar ist indessen, dass für eine ausführliche Auskunft oft die Mittel und insbesondere die Zeit fehlt. Unternehmen, die in der Regel den Datenschutz aufgrund anderer essentieller Aufgaben nicht priorisieren, stehen nun vor einer neuen Herausforderung die mit großer Unsicherheit einhergeht. Gerade für klein- oder mittelständische Unternehmen mangelt es zumeist an Kompetenz und Mittel für eine qualifizierte Rechtsberatung zu diesem Thema, so dass diese im Verhältnis zu Großunternehmen wohl stärker betroffen sein werden. Es bleibt also jedem Unternehmen bzw. jeder Organisation dringendst zu empfehlen, ein effektives Auskunftsverfahren zu implementieren.