Auskunftsanspruch nach Art. 15 DSGVO
Der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO ist ein zentrales Recht des Betroffenen. Er dient der Transparenz und soll den Betroffenen in die Lage versetzen, Kenntnis von der Verarbeitung seiner personenbezogenen Daten zu erlangen, um deren Rechtmäßigkeit überprüfen zu können. Die Geltendmachung einer Auskunft bedarf weder eines Grundes noch einer bestimmten Form. Umfang und Inhalt des Auskunftsanspruches sind jedoch umstritten und immer wieder Gegenstand gerichtlicher Entscheidungen. Wir nehmen zahlreiche Entscheidungen, die in den letzten Wochen veröffentlicht wurden, zum Anlass, Sie über die neuesten Entwicklungen zu informieren.
Umfang des Auskunftsanspruchs
Der BGH hat sich mit Urteil vom 15.06.2021 (Az. VI ZR 576/19) für einen weiten Umfang des Auskunftsanspruchs ausgesprochen. Dabei stellt er klar:
- Der Auskunftsanspruch erfasst sämtliche Korrespondenz sowie interne Vermerke.
- Das Begehren einer “vollständigen Datenauskunft” kann den Anspruch hinreichend präzisieren. Eine Beschränkung auf Daten, die dem Betroffenen noch nicht bekannt sind, darf nicht stattfinden.
- Soweit rechtliche Analysen personenbezogene Daten enthalten, können sie Art. 15 DSGVO unterfallen; anknüpfende rechtliche Beurteilungen werden jedoch nicht erfasst.
- Erfüllung tritt ein, wenn die Angaben nach dem erklärten Willen des Auskunftsschuldners die Auskunft im geschuldeten Gesamtumfang darstellen, eine Unrichtigkeit steht der Erfüllung nicht entgegen. Wesentlich ist dagegen die Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist.
- Deckt die erteilte Auskunft erkennbar den Gegenstand nicht ab, kann der Auskunftsberechtigte Ergänzung verlangen.
Hat der Verantwortliche Auskunft darüber erteilt, ob eine Verarbeitung personenbezogener Daten stattfindet, kann die betroffene Person vom Verantwortlichen gemäß Art. 15 Abs. 3 S. 1 DSGVO i.V.m. Art. 12 Abs. 5 S. 1 DSGVO die Zurverfügungstellung einer unentgeltlichen Kopie der vorhandenen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, verlangen. Das OVG Münster hat mit Urteil vom 08.06.2021 (Az. 16 A 1582/20) entschieden, dass neben einer Kopie in Papierform auch eine Kopie in einem gängigen elektronischen Format zur Verfügung gestellt werden muss. Zudem vertritt das OVG Münster eine extensive Auslegung des Auskunftsanspruchs, wonach eine Auskunft über alle vorhandenen personenbezogenen Daten zu erfolgen hat. Eine Auskunft, ob personenbezogene Daten gespeichert werden und um welche es sich dabei gegebenenfalls handelt, und/oder nur eine Auskunft über die in Art. 15 Abs. 1 lit. a bis h DSGVO genannten Informationen (sog. restriktive Auslegung) genügt nach Auffassung des OVG Münster Art. 15 DSGVO nicht.
Nach Auffassung des BAG in seinem Urteil vom 27.04.2021 (Az. 2 AZR 342/20) darf der Anspruch jedoch nicht pauschal ausgedehnt werden. Einer Klage auf Überlassung sämtlicher E‑Mails, die Gegenstand der Verarbeitung sind und an die dienstliche E‑Mail-Adresse des Arbeitnehmers gesendet wurden oder die ihn namentlich nennen, hat das Gericht nicht stattgegeben und dabei den Antrag als unbestimmt angesehen. Diese Eingrenzung des Auskunftsanspruchs, der immer häufiger von ausgeschiedenen Mitarbeitern geltend gemacht wird, beugt Missbrauch vor und ist daher zu begrüßen.
Das LAG Baden-Württemberg hatte mit Urteil vom 17.03.2021 (Az. 21 Sa 43/20) die Überlassung von “leistungs- und verhaltensbezogenen Daten” noch als hinreichend konkretisiertes Verlangen eines Arbeitnehmers angesehen. Dieses sei aufgrund der Rechtsprechung zu § 87 Abs. 1 Ziff. 6 BetrVG hinreichend bestimmt, da deutlich wird, dass Auskunft über Daten begehrt wird, die nicht der Personalakte zugeführt wurden, da diese ohnehin nach § 83 BetrVG eingesehen werden kann. Eine konkrete Benennung der personenbezogenen Daten könne Arbeitnehmern nicht zugemutet werden. Nach der Klarstellung durch das BAG dürften derartig weit gefasste Auskunftsersuchen vor den Arbeitsgerichten künftig nur schwer Bestand haben.
In Bezug auf Drittlandsübermittlungen hat das AG Wiesbaden mit Urteil vom 31.05.2021 (Az. 93 C 3382/20) entschieden, dass Art. 15 Abs. 2 DSGVO zwar bei Vorliegen einer Drittlandsübermittlung eine Unterrichtung vorsieht, in Ermangelung einer solchen aber keine Negativauskunft geschuldet ist. Nur soweit vorgetragen würde, dass personenbezogene Daten an Drittländer oder internationale Organisationen übermittelt worden wären, könne ohne Negativauskunft der Auskunftspflicht nicht Genüge getan werden.
Auswirkungen des datenschutzrechtlichen Auskunftsrechts auf die Produktentwicklung
Vor diesem Hintergrund empfehlen wir Unternehmen, ihre Produkte und Unternehmensstrukturen an die Umsetzbarkeit von Auskunftsansprüchen anzupassen und diese schon während der Entwicklung von Produkten und Dienstleistungen zu berücksichtigen. Die Exportierbarkeit von Daten stellt dabei besondere Anforderungen an die verwendete Technik. Um eine steigende Zahl von Auskunftsansprüchen bewältigen zu können, bedarf es der Etablierung entsprechender Schnittstellen und der automatisierten Erstellung von Datenpaketen.
Kein Schadensersatz bei verspäteter Auskunft
Das LG Bonn lässt in zwei Urteilen vom 01.07.2021 (Az. 15 O 372/20 und 15 O 355/20, abrufbar bei Beck-online) dahinstehen, ob eine verspätete Auskunft einen Verstoß i.S.d. Art. 82 Abs. 1 DSGVO darstellt. Zur Begründung führt das LG Bonn in beiden Entscheidungen an, dass ein Schadensersatzanspruch nach Art. 82 DSGVO nur bei DSGVO-widrigen Verarbeitungen in Betracht kommt. Die verspätete Beantwortung einer Auskunft sei jedoch, so die schlüssige Argumentation des Gerichts, gerade kein DSGVO-Verstoß, der durch die Verarbeitung selbst entstanden sei. Gleiches gelte z.B. auch für die Verletzung der datenschutzrechtlichen Informationspflichten. Die Verletzung der Art. 12 bis 15 DSGVO habe nicht zur Folge, dass eine Verarbeitung, infolge derer das Auskunftsrecht entstanden sei, selbst verordnungswidrig wird. Anderer Auffassung ist hingegen das OLG Wien. In seinem Urteil vom 07.12.2020 (Az. 11 R 153/20f, 154/20b) hat es einem Schadensersatzanspruch in Höhe von 500 € wegen Verletzung des Rechts auf Auskunft nach Art. 15 DSGVO stattgegeben und ist dabei von einem materiellen Schaden durch die verzögerte Auskunft ausgegangen.
Ob sich auch deutsche Gerichte der Entscheidung des OLG Wien anschließen werden, bleibt abzuwarten. Mit Blick darauf, dass verspätete Auskunftsersuchen jedenfalls von den Datenschutzaufsichtsbehörden mit einem Bußgeld geahndet werden können, sollten Unternehmen diese Entwicklung jedoch nicht zum Anlass nehmen, die Umsetzung des Art. 15 DSGVO auf die leichte Schulter zu nehmen.
