Reichweite von Art. 15 DSGVO endlich geklärt?

Dient der datenschutzrechtliche Auskunftsanspruch aus Art. 15 DSGVO der „vereinfachten Buchführung“ des Betroffenen? Mit dem nun veröffentlichten Urteil des BGH vom 15.06.2021 – Az. VI ZR 576/19 (Link zur Volltextveröffentlichung bei openjur) zur Reichweite des Auskunftsanspruches ist dies anzunehmen.

Der Auskunftsanspruch aus Art. 15 DSGVO

Die Datenschutzgrundverordnung (DSGVO) gibt jeden Betroffenen das Recht eine Bestätigung darüber zu erhalten, ob das jeweilige Unternehmen personenbezogene Daten von ihm verarbeitet. Der Anspruch ist dabei an keine weiteren Voraussetzungen geknüpft. Er kann einfach formlos, z.B. per E-Mail oder telefonisch gegenüber dem jeweiligen Verantwortlichen geltend gemacht werden. Sofern personenbezogene Daten des Betroffenen verarbeitet werden, so hat das Unternehmen unverzüglich, spätestens aber innerhalb eines Monats dies zu bestätigen und Auskunft über die verarbeiteten Informationen zu erteilen (Art. 12 Abs. 3 Satz 1 DSGVO).

Kraftanstrengung für Unternehmen

Der Auskunftsanspruch ist für viele Unternehmen eine große Herausforderung und verursacht eine Menge Kosten. Da der Anspruch von keinen weiteren Voraussetzungen abhängt, sehen sich die Verantwortlichen einer Vielzahl solcher Anfragen ausgesetzt. Dies führt zu erheblichen Kosten im Unternehmen, sofern man keine effizienten Prozesse zur Auskunftserteilung etabliert hat. Darüber hinaus verfolgt der Betroffene nicht selten völlig andere, datenschutzfremde Ziele mit seinem Auskunftsanspruch, als die Kontrolle des Verantwortlichen. Meist soll der Auskunftsanspruch dazu dienen, die eigene Position des Betroffenen, sei es z.B. als Arbeitnehmer oder Versicherungsnehmer deutlich zu verbessern oder in außergerichtlichen bzw. gerichtlichen Verfahren Druck auf die Gegenseite auszuüben.

Reichweite des Auskunftsanspruches nach Art. 15 Abs.1 DSGVO

Welche Daten und Informationen sind nun von der verantwortlichen Stelle zu beauskunften? Ausgangspunkt der Diskussion ist zunächst Art. 4 Nr. 1 DSGVO der personenbezogene Daten wie folgt definiert:

…alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen

Art. 4 Nr. 1 DSGVO

Der BGH geht dabei im Einklang mit der Rechtsprechung des Europäischen Gerichtshofs von einem sehr weiten Umfang des Begriffs der personenbezogenen Daten aus:

Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist. […] Soweit die Revisionserwiderung meint, Art. 15 DS-GVO sei im Hinblick auf den Begriff der „personenbezogenen Daten“ teleologisch dahingehend zu reduzieren, dass der Personenbezug im Rahmen von Art. 15 DS-GVO voraussetze, dass es um „signifikante biografische Informationen“ gehe, die „im Vordergrund“ des fraglichen Dokuments stünden […], ist diese Auffassung mit der zitierten Rechtsprechung des Gerichtshofs der Europäischen Union, die sich zweifelsfrei auf den Begriff der personenbezogenen Daten im Sinne des Art. 15 i.V.m. Art. 4 Nr. 1 Halbsatz 1 DS-GVO übertragen lässt, ersichtlich nicht zu vereinbaren.

Urteil des BGH vom 15.06.2021 – Az. VI ZR 576/19 – Rdnr. 26

Die Auskunft soll den Betroffenen in die Lage versetzen, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Er soll sich insbesondere vergewissern können, dass die ihn betreffenden Daten richtig sind und in zulässigerweise verarbeitet werden.

Daher sind insbesondere folgende Informationen vom Auskunftsanspruch erfasst:

• Schriftverkehr zwischen den Parteien
• Interne Vermerke, Telefonnotizen oder interne Kommunikation, die Informationen über den Betroffenen enthalten
• Vermerke über den Gesundheitszustand, Zweitschriften und Nachträge zu Versicherungsscheinen, Zahlungen des Betroffenen

Fazit

Während in der Literatur und der unterinstanzlichen Rechtsprechung die Reichweite des Auskunftsanspruches bislang äußerst umstritten war, darf dies nun durch das vorliegende Urteil als weitgehend geklärt gelten. Das Urteil des BGH stärkt die Verbraucherrechte in einem erheblichen Umfang. Für die Unternehmen bedeutet dies jedoch einen erheblichen Mehraufwand. Hier gilt: Effiziente Prozesse und ein gutes Datenschutzmanagement helfen die Kosten und den Aufwand zu minimieren. Eine unvollständige Auskunft, die den durch den BGH konkretisierten Anforderungen an die DSGVO nicht genügt, birgt zudem die Gefahr einer gerichtlichen Inanspruchnahme durch den Betroffenen. Auch stehen Schadensersatzforderungen nach Art. 82 DSGVO und/oder aufsichtsrechtliche Verfahren durch die Aufsichtsbehörden im Raum.

Wenn Sie daher Fragen zur Reichweite des Auskunftsanspruches haben oder Unterstützung bei der Verteidigung solcher Auskunftsbegehren benötigen, zögern Sie nicht uns zu kontaktieren. Wir helfen Ihnen gerne weiter.