02.08.2021  | Update Datenschutz Nr. 103

BGH zur Reichweite des Auskunftsanspruchs gemäß Art. 15 Abs. 1 DSGVO




zurück zur Übersicht

Hintergrund

Mit Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) hat der BGH erstmals umfangreich Stellung zur Reichweite des Auskunftsanspruchs gemäß Art. 15 Abs. 1 DSGVO genommen. Art. 15 DSGVO normiert das Auskunftsrecht einer betroffenen Person gegenüber einem Verantwortlichen. Nach Art. 15 Abs. 1 DSGVO kann eine betroffene Person vom Verantwortlichen Auskunft darüber verlangen, ob dieser personenbezogene Daten über sie verarbeitet und bejahendenfalls, um Auskunft über diese Daten sowie weitere Informationen. Flankiert wird der Auskunftsanspruch durch das Recht auf Bereitstellung einer Kopie der verarbeiteten personenbezogenen Daten gemäß Art. 15 Abs. 3 DSGVO.

Über die Frage, welche Daten vom Auskunftsanspruch und dem Recht auf eine Kopie genau erfasst sind, hat sich in den vergangenen Jahren ein facettenreicher Meinungsstreit entwickelt (siehe dazu auch Update Datenschutz Nr. 58, 74 und 95). Auch die Rechtsprechung vertrat dabei keinen einheitlichen Standpunkt. So gibt es bislang eine Vielzahl unterschiedlicher Urteile verschiedener (unterinstanzlicher) Gericht speziell zum Recht auf Kopie. Teilweise wird hier eine sehr restriktive Auslegung vertreten, die den Verantwortlichen verpflichtet, lediglich eine Kopie aller Stammdaten des Betroffenen herauszugeben oder das Recht auf eine Kopie auf die personenbezogenen Daten beschränkt, die dem Betroffenen nicht selbst vorliegen. Demgegenüber wird aber auch eine sehr weite, betroffenenfreundliche Auslegung vertreten, die den Verantwortlichen zur umfassenden Herausgabe einer Kopie aller Unterlagen verpflichtet, in denen personenbezogene Daten des Betroffenen enthalten sind.

In dem gegenständlichen Urteil hat sich nun erstmals der BGH zur Reichweite des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO geäußert und vertritt hierbei eine sehr weitgehende Auslegung, die den Verantwortlichen auch zur Herausgabe von umfassenden Unterlagen verpflichtet, soweit diese personenbezogene Daten enthalten. Auf das Recht zur Bereitstellung einer Kopie gemäß Art. 15 Abs. 3 DSGVO geht er demgegenüber nicht ein. Letztlich verwischt der BGH dadurch die Konturen zwischen dem Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO und dem Recht auf Kopie gemäß Art. 15 Abs. 3 DSGVO, sodass in Zukunft weiterhin mit Abgrenzungsschwierigkeiten zu rechnen ist.

Sachverhalt

Der Kläger hatte im Jahr 1997 mit der Rechtsvorgängerin der Beklagten einen Lebensversicherungsvertrag abgeschlossen. Im Jahr 2016, damals noch auf Grundlage des BDSG, verlangte er erstmals Auskunft darüber, welche Daten, die ihn betreffen, die Beklagte verarbeitet. Die Beklagte übersandte eine Datenauskunft. Der anschließende Streit, der vor die Gerichte ging, betraf vor allem die Frage, ob diese Datenauskunft – inzwischen auf Grundlage des Art. 15 DSGVO – vollständig war oder ob die Beklagte noch weitere Unterlagen, wie etwa Korrespondenzen zwischen den Parteien, Informationen zum „Prämienkonto“ des Klägers, Daten des Versicherungsscheins sowie interne Vermerke und interne Kommunikation der Beklagten den Kläger betreffend herausgeben müsse. Während die ersten beiden Instanzen die Vollständigkeit noch bejahten, entschied der BGH nunmehr, dass das Auskunftsrecht weiter gehe, als die Beklagte (und die Vorinstanzen) angenommen hatten und dass daher die Auskunft nicht ausreichend gewesen sei. Vielmehr sei die Beklagte verpflichtet, umfassende Unterlagen herauszugeben, soweit in diesen personenbezogene Daten des Klägers enthalten seien.

Wesentliche Inhalte der Entscheidung

Zunächst stellt der BGH fest, dass der Begriff des personenbezogenen Datums gem. Art. 4 Nr. 1 DSGVO unter Bezugnahme auf die Rechtsprechung des EuGH weit auszulegen sei. Der BGH übernimmt dabei die Definition des EuGH, wonach der Begriff nicht auf bestimmte „signifikante“ Informationen beschränkt sei, sondern potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von persönlichen Schreiben, Stellungnahmen oder Beurteilungen umfasse, vorausgesetzt, dass es sich um Informationen handele, die mit der in Rede stehende Person verknüpft sind (EuGH, Urteil vom 20. Dezember 2017 - Rs. C-434/16). Entsprechend erteilt der BGH der Meinung, der Begriff des Personenbezugs sei speziell bei Art. 15 DSGVO anders, nämlich enger zu verstehen, eine Absage. Der Begriff sei nach dem BGH vielmehr im Rahmen der DSGVO einheitlich und damit weit auszulegen.

In der Folge geht der BGH dann auf die Reichweite des Auskunftsrechts ein. Zweck des Auskunftsrechts sei es, dass die betroffene Person die Rechtmäßigkeit der Verarbeitung überprüfen könne. Davon ausgehend sind laut BGH sowohl die vergangene Korrespondenz der Parteien, Informationen zum „Prämienkonto“ des Klägers, Daten des Versicherungsscheins als auch die internen Vermerke und die interne Kommunikation des Verantwortlichen grundsätzlich von Art. 15 DSGVO erfasst. Die eigenen Äußerungen des Betroffenen in Schreiben an den Verantwortlichen seien vollumfänglich Informationen mit Bezug zum Betroffenen und damit personenbezogene Daten. Für die Schreiben des Verantwortlichen – sowohl interne als auch an Dritte – gelte dies auch, soweit Informationen über den Kläger enthalten seien.

An dieser Stelle erteilt der BGH auch dem Argument, eine Auskunft müsse nicht erteilt werden, wenn der Betroffenen bereits über die Informationen verfüge, eine klare Absage. Zum einen fehle bei Art. 15 DSGVO eine Regelung wie bei Art. 13 Abs. 4 DSGVO, die eine solche Ausnahme ausdrücklich vorsieht. Zudem erlaube Art. 15 DSGVO auch wiederholte Auskunftsbegehren, weswegen auch bekannte Daten erfasst seien. Schließlich könne das Auskunftsrecht seinen Zweck für den Betroffenen, nämlich die aktuellen und konkreten Verarbeitungen zu kennen und deren Rechtmäßigkeit zu überprüfen, nur erfüllen, wenn alle Daten erfasst werden, die zum Zeitpunkt der Auskunft verarbeitet werden. Es genüge dafür nicht, dass der Betroffene bereits wisse, dass bestimmte Daten beim Verantwortlichen vorhanden sind. Entsprechend müssen der Verantwortliche nach Ansicht des BGH beispielsweise auch die von der betroffenen Person selbst erstellten Schreiben sowie der betroffenen Person bereits bereitgestellte Unterlagen (erneut) herausgeben. Letzteres betraf im konkreten Fall Informationen zu Prämienzahlungen an den Kläger, die diesem schon bekannt waren.

Darüber hinaus sei es für die Frage, ob personenbezogene Daten vorliegen, ohne Relevanz, ob es sich um Informationen aus internen Vorgängen des Verantwortlichen handelt. Mit anderen Worten unterfallen auch solche Daten nach Ansicht des BGH grundsätzlich dem Auskunftsrecht. Eine Ausnahme sieht das Gericht – wiederum gestützt auf Rechtsprechung des EuGH – bei internen Bewertungen (hier zu den Ansprüchen des Klägers). Solche rechtlichen Analysen können zwar personenbezogene Daten enthalten. Die Beurteilung der Rechtslage selbst enthalte aber keine Informationen über den Betroffenen (EuGH, Urteil vom 17. Juli 2014 - Rs. C-141/12 und C-372/12) und sei somit nicht vom Auskunftsrecht erfasst.

Einordnung

Für Verantwortliche dürfte das Urteil einen erheblichen Mehraufwand bedeuten. Dies gilt besonders für große Organisationen, bei denen personenbezogene Daten – insbesondere Unterlagen mit Bezug zu einer betroffenen Person – in unterschiedlichen Abteilungen und Sektoren verarbeitet werden. Diese müssen nunmehr sicherstellen, dass sämtliche relevanten Unterlagen Gegenstand der Auskunft (nach Art. 15 Abs. 1 DSGVO) sind und eine entsprechende Kopie dieser Unterlagen zur Verfügung stellen. Ausgenommen sind etwa rechtliche Analysen und Beurteilungen. Insofern sind somit nicht alle Dokumente, die in Bezug auf einen Betroffenen erstellt werden, gleichzusetzen mit personenbezogenen Daten des Betroffenen. Hier ist zwischen dem Datenmaterial, auf das Beurteilungen beruhen und der Beurteilung selbst zu unterscheiden. Demgegenüber müssen beispielsweise interne Vermerke und Bewertungen der betroffenen Person im Rahmen der Auskunft bereitgestellt werden. Andernfalls droht das Risiko von Bußgelder und Schadensersatzansprüchen.

Leider sind in dem Urteil keine Ausführungen zur Abgrenzung zu dem Recht auf Kopie gemäß Art. 15 Abs. 3 DSGVO enthalten. Durch das Urteil des BGH werden die Grenzen zwischen Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO und Recht auf Kopie gemäß Art. 15 Abs. 3 DSGVO verwischt. Denn nach dem BGH muss der Verantwortliche bereits im Rahmen des Auskunftsrechts Kopien der relevanten Unterlagen übersenden. Ebenfalls sind dem Urteil kaum Ausführungen über die Beschränkungen und Ausnahmen im Zusammenhang mit Art. 15 DSGVO enthalten. Diese müssen von Verantwortlichen aber im zweiten Schritt ebenfalls überprüft werden, bevor entschieden werden kann, ob und wie ein Auskunftsbegehren befolgt werden sollte. Der BGH hat als mögliche Ausnahmen beispielhaft sachfremde Zwecke, die mit dem Auskunftsbegehren verfolgt werden, einen unverhältnismäßigen Aufwand für den Verantwortlichen und Geheimhaltungsinteressen genannt. Dieser Punkt ist aus verschiedenen Gründen von Interesse. Zum einen sind bei den gesetzlich explizit erwähnten Ausnahmen (Art. 12 Abs. 5 S. 2 DSGVO, Art. 15 Abs. 4 DSGVO, § 29 Abs. 1 Satz 2 BDSG, § 34 Abs. 1 BDSG) mangels Rechtsprechung und aufgrund unklarer Formulierungen noch viele Frage offen. Zum anderen findet sich beispielsweise für sachfremde Zwecke kein ausdrücklicher Ausschlussgrund. Insofern bleibt abzuwarten, ob der BGH diese unter „offensichtlich unbegründete“ Auskunftsbegehren im Sinne von Art. 12 Abs. 5 S. 2 fassen oder hier eine generelle Interessenabwägung vornehmen will.

Offen ist auch, wie konkret das Auskunftsbegehren gefasst sein muss. Während das BAG es in seinem Urteil (BAG, Urteil vom 27. April 2021 – 2 AZR 342/20) mit Verweis auf die Vollstreckbarkeit eines Urteils nicht ausreichend lies, dass eine umfassende Datenauskunft über alle Emails bezüglich einer bestimmten Email-Adresse begehrt wurde, hat der BGH diese Frage ausdrücklich offengelassen, da sich in seinem Fall jedenfalls aus der Klagebegründung und den Verhandlungen eine genauere Konkretisierung ergab. Er deutet aber an, dass es möglicherweise ausreiche, dass sich der Umfang eines solchen Begehrens aus dem Gesetz ergibt. Dann wäre es wieder eine Frage der Verhältnismäßigkeit, inwieweit ein Verantwortlicher umfassenden und relativ unbestimmten Begehren nachkommen muss.

Fazit und Empfehlung

Der Streit um die Reichweite und die Abgrenzung des Auskunftsrechts und dem Recht auf Kopie gemäß Art. 15 DSGVO wird weitergehen. So legte etwa der österreichische Oberste Gerichtshof dem EuGH die Frage vor, ob der Verantwortliche ein Wahlrecht dahingehend hat, „nur“ die Kategorien von Empfänger zu nennen oder die konkreten Empfänger nennen muss, soweit sie ihm bekannt sind (öOGH, Beschluss vom 18. Februar 2021 - Gz. 6 Ob 159/20f). Darüber hinaus werden die Ausnahmetatbestände weiter in den Fokus rücken, unter denen eine Auskunft verweigert bzw. eingeschränkt werden kann.

Unabhängig davon gilt für Verantwortliche nun, die interne Prozesse zur Auskunftserteilung – soweit erforderlich – anzupassen, sodass sichergestellt ist, dass sämtliche personenbezogene Daten einer betroffenen Person innerhalb der gesetzlichen Monatsfrist erteilt werden. Entsprechend müssen nach dem Urteil des BGH also auch vielfach Unterlagen, wie etwa Korrespondenzen, Vermerke, etc., herausgegeben werden. Es ist dabei genau zu prüfen, welche Unterlagen herausgegeben werden müssen und welche Informationen unter Umständen geschwärzt werden müssen, etwa wenn sie vertrauliche Informationen von Dritten oder Betriebsgeheimnisse betreffen. Zudem sollte unbedingt die weitere Entwicklung beobachtet werden.

Ansprechpartner

Weitere Fachbeiträge, die Sie interessieren könnten

Diese Seite verwendet Cookies. Erfahren Sie in unserer Datenschutzerklärung mehr darüber, wie wir Cookies einsetzen und wie Sie Ihre Einstellungen ändern können. OK