Neue Rechtsprechung zum datenschutzrechtlichen Auskunftsanspruch

Mit dem datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO haben wir uns bereits in diesem und diesem Blogbeitrag beschäftigt. Heute informieren wir Sie über die neuesten Entwicklungen und Entscheidungen, insbesondere über die Auswirkungen des neuesten BGH-Urteils zu diesem Thema.

Was ist ein datenschutzrechtlicher Auskunftsanspruch?

Nach Art. 15 DSGVO steht jedem Betroffenen das Recht zu, von Verantwortlichen zu erfahren, ob diese ihn betreffende personenbezogene Daten verarbeiten. Dann kann der Betroffene in einem zweiten Schritt Auskunft darüber verlangen, welche personenbezogene Daten zu welchem Zweck für welchen Zeitraum usw. verarbeitet werden. Inhaltlich umfasst dieser Auskunftsanspruch alle personenbezogenen Daten, die über den Betroffenen gespeichert sind. Daneben sind die Empfänger von Daten in der Auskunft aufzulisten. Soweit keine personenbezogenen Daten des Betroffenen verarbeitet werden, muss der Verantwortliche eine sog. Negativauskunft erteilen. Eine solche Auskunft darf man wiederholt, jedoch nicht missbräuchlich oder unbegründet verlangen und muss kostenlos erfolgen.

Was hat der Verantwortliche bei einem Auskunftsanspruch zu tun?

Zuständig für die Auskunft ist jeweils der Verantwortliche, der die Daten bei dem Betroffenen erhoben hat. Sobald ein Auftragsverarbeiter mit einem Auskunftsanspruch konfrontiert wird, muss er diesen an den Auftraggeber weiterleiten.
Wichtig: Prüfen Sie vor jeder Auskunft, dass die auskunftsverlangende Person und die, über die Auskunft verlangt wird, die selbe sind. Eine besondere Gefahrenquelle liegt hierbei bei telefonischen Auskunftsanfragen oder Anfragen per E-Mail. Verantwortliche müssen stets darauf achten, dass man im Rahmen der Auskunft keine personenbezogenen Daten Dritter oder Geschäfts- bzw. Betriebsgeheimnisse des eigenen Unternehmens preisgibt. Dies kann man z. B. durch Schwärzen der entsprechenden Stellen sicherstellen.

Die Auskunft muss unverzüglich, jedoch spätestens innerhalb eines Monats ab Eingang der Anfrage erfolgen. Auch die Ablehnung der Auskunftsanfrage muss innerhalb eines Monats erfolgen. Dazu sollte die Auskunft nach Art. 15 DSGVO stets auf die Betroffenenrechte, z. B. mit Hilfe einer Datenschutzbelehrung sowie auf das Beschwerderecht nach Art. 15 Abs.1 lit. f DSGVO hinweisen.

Umfang der Auskunft – Gerichte beziehen Stellung

Lange Zeit ungeklärt bzw. nicht final entschieden war der Umfang des Auskunftsanspruchs. Es war insbesondere für die Verantwortlichen unklar, wie weit dieser Umfang der Auskunft auszulegen ist. Waren alle Dokumente, in denen personenbezogene Daten des Betroffenen enthalten sind, herauszugeben? Denn Art. 15 DSGVO ist diesbezüglich nicht klar formuliert. Dieser setzt nur fest, dass man eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung stellen muss. Wenn nun all diese Daten an den Betroffenen herausgegeben werden, stellt dies ggf. einen enormen Aufwand für einen Verantwortlichen dar. Doch genau hierfür hat sich nun der BGH in seinem Urteil vom 15.06.2021 – Az.: VI ZR 576/19 ausgesprochen.

Hiernach muss man dem Betroffenen alle Daten im Rahmen einer Datenkopie bereitstellen. Und zwar in der Form, in der sie dem Verantwortlichen zum Zeitpunkt der Auskunft vorliegen. Dies gilt unabhängig davon, ob es sich hierbei um externe oder interne Daten handelt oder ob die Daten dem Betroffenen bekannt sind oder nicht. Daneben ist der Zeitpunkt der Datenerhebung irrelevant, solange die Daten dem Verantwortlichen noch vorliegen.

Dazu sind die personenbezogenen Daten nicht auf sensible oder private Daten beschränkt, sondern betreffen alle Informationen über die betroffene Person objektiver als auch subjektiver Natur (z. B. Stellungnahmen oder Beurteilungen). Die Auskunft umfasst daher sowohl Kopien von Metadaten, Logeinträgen als auch von interner Kommunikation und Gesprächsnotizen. Allerdings kann der Verantwortliche vom Betroffenen verlangen, dass dieser sein Auskunftsverlangen präzisiert, wenn der Verantwortliche eine große Menge an personenbezogenen Daten des Betroffenen verarbeitet.

Nur durch eine solche umfassende Auskunft kann sich der Betroffene ein umfassendes Bild davon machen, welche Daten von ihm verarbeitet werden. Gleichzeitig kann er so prüfen, ob die verarbeiteten Daten richtig sind und zulässig verarbeitet werden. So sieht das auch das LAG Stuttgart in seinem Urteil vom 17.03.2021 – Az.: 21 Sa 43/20. Hierin teilt das LAG Stuttgart die Ansicht des BGH und hebt noch einmal das Recht des Betroffenen, die verarbeiteten Daten in Kopie zu erhalten, hervor.

Fazit

Sie sehen also, dass man im Falle eines Auskunftsanspruchs dem Betroffenen ggf. eine große Datenmenge zur Verfügung stellen muss. Es empfiehlt sich daher, im Unternehmen Prozesse zu etablieren, um schnell und souverän auf solche Anfragen reagieren zu können. Daher raten wir dazu, Kunden– oder Mitarbeiterdaten zentral zu verwalten und auf möglichst wenige externe Dienstleister zur Datenverarbeitung zurückzugreifen. Dies ergibt sich nicht zuletzt schon aus dem Grundsatz der Datenminimierung und Transparenz in der Datenverarbeitung.

Haben Sie noch Fragen in diesem Bereich, benötigen einen Datenschutzbeauftragten oder datenschutzrechtliche Beratung? – Kontaktieren Sie uns gerne unter 0931-780 877-0 oder info@sidit.de.