Das Auskunftsrecht nach Art. 15 DSGVO

Was ist das überhaupt und in welchem Umfang können Betroffene von den Verantwortlichen Auskunft über sie betreffende personenbezogenen Daten verlangen, die verarbeitet werden? Der heutige Blog-Beitrag beschäftigt sich mit einem der wichtigsten Betroffenenrechte der DSGVO und damit mit einem in der Fachwelt und Rechtsprechung höchst umstrittenen Thema: das Auskunftsrecht nach Art. 15 DSGVO. Los geht‘s!

Art. 15 DSGVO

Transparenz in der Datenverarbeitung ist einer der Eckpfeiler der DSGVO. Um diesem Grundsatz zu genügen wird Betroffenen durch Art. 15 Abs. 1 DSGVO in einem ersten Schritt das Recht eingeräumt, von Verantwortlichen zu erfahren, ob diese ihn betreffende personenbezogene Daten verarbeiten. Wird dies bejaht, kann der Betroffene in einem zweiten Schritt verlangen, dass ihm Auskunft darüber erteilt wird, welche personenbezogene Daten zu welchem Zweck für welchen Zeitraum usw. verarbeitet werden.

Gem. Art. 5 Abs. 3 DSGVO muss der Verantwortliche dem Auskunftsersuchenden dann eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen.
Soweit, so gut.

Umfang der Auskunftspflicht

Gegenstand des Streits in Fachwelt und Rechtsprechung ist der Umfang des Auskunftsverlangens. Was muss der Verantwortliche alles an den Betroffenen herausgeben? Reicht ein einfaches Auskunftsschreiben? Müssen alle Dokumente, auch Telefonnotizen, technische Log-Einträge, Metadaten oder ähnliches herausgegeben werden?

Dies würde einen enormen Aufwand darstellen, je nachdem, wie organisiert ein Unternehmen ist und in welchem Umfang Daten verarbeitet werden.

Kann der Verantwortliche ein Auskunftsverlangen vielleicht auch ablehnen, da es für ihn einen unverhältnismäßigen Aufwand bedeuten würde, die Informationen zur Verfügung zu stellen?

1. Was sagt das Gesetz?

Art. 15 Abs. 1 DSGVO selbst enthält keine ausdrückliche Aussage darüber, in welchem Umfang dem Betroffenen Informationen über die verarbeiteten personenbezogenen Daten zur Verfügung gestellt werden müssen.

2. Ist ein einfaches Auskunftsschreiben ausreichend?

Mit Rückgriff auf Art. 15 Abs. 3 DSGVO könnte man zu dem Schluss kommen, dass ein vollumfänglicher Auskunftsanspruch, also die Herausgabe einer Kopie wirklich aller Dokumente, abzulehnen ist. Art. 15 Abs. 3 DSGVO bezieht sich ausdrücklich nur auf Daten, „die Gegenstand der Verarbeitung sind“. Dementsprechend wäre nur eine Kopie der Daten an den Auskunftsersuchenden herauszugeben, die persönliche oder sachliche Informationen über diesen aufweisen, was bei Log-Einträgen oder Metadaten beispielsweise nicht der Fall ist.

Als weiteres Indiz für diese Ansicht kann auch schlicht die Überschrift des Art. 15 DSGVO herangezogen werden: Es ist von einem „Auskunftsrecht“, nicht von einem „Herausgaberecht“ die Rede.
Dafür, dass ein Auskunftsschreiben an den Betroffenen ausreicht, spricht auch Erwägungsgrund 63 zur DSGVO, der vorsieht, dass der Verantwortliche, wenn er eine große Menge an personenbezogenen Daten des Betroffenen verarbeitet, von dem Betroffenen verlangen kann, sein Auskunftsverlangen zu präzisieren.

3. Was spricht für ein vollumfängliches Auskunftsrecht?

Wie bereits geschildert, trifft Art. 15 Abs. 1 DSGVO selbst keine Aussage darüber, in welchem Umfang der Auskunftsanspruch eines Betroffenen zu erfüllen ist. Allerdings wird angeführt, dass sich der Betroffene eben nur dann ein umfassendes Bild machen kann, wenn er tatsächlich jegliche Informationen von dem Verantwortlichen erhält, welche Daten dieser verarbeitet oder verarbeitet hat. Dies spricht also für einen umfassenden Herausgabeanspruch, einer Kopie aller Dokumente in denen personenbezogenen Daten des Betroffenen verarbeitet werden. Davon umfasst sind Metadaten, Logeinträge, Telefonnotizen und vieles mehr.

Seine Grenzen muss das Auskunftsrecht allerdings dort finden, wo Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, ansonsten beeinträchtigt würden (Erwägungsgrund 63 Abs. 5).

4. Treu und Glauben: Die deutsche Besonderheit

Das allgemeine Schuldrecht des BGB kennt den Grundsatz von „Treu und Glauben“. Treu und Glauben bedeutet, dass die Parteien eines Rechtsverhältnisses untereinander Rücksicht nehmen müssen auf die Rechte, Rechtsgüter und Interessen des jeweils anderen. Mit Stellung des Auskunftsersuchens entsteht zwischen Betroffenem und Verantwortlichem ein Rechtsverhältnis, in dem dieser Grundsatz Anwendung findet. Dem folgend könnte sich der Verantwortliche auf einen unverhältnismäßig hohen Aufwand berufen. Eine Verweigerung wäre demnach möglich, allerdings nur im Einzelfall und unter strengen Maßstäben.

5. Was sagt die Rechtsprechung?

Momentan gibt es zum Umfang des Auskunftsrechts keine einheitliche Rechtsprechung, was natürlich zu Unsicherheiten führt. Das LAG Baden-Württemberg entschied am 20.12.2018, dass betroffene Personen sehr weitgehende Auskunftsrechte und ein vollumfängliches Recht auf Erhalt einer Kopie ihrer Daten haben sollen. Das LG Köln hingegen hat am 18.03.2019 eine genau entgegengesetzte Entscheidung gefällt. Betroffenen Personen sollen gerade keine extensiven Informationsrechte zustehen. In dem Urteil vom 06.02.2020 lehnte das LG Heidelberg wiederum den Auskunftsanspruch einer betroffenen Person ab, da die Auskunftserteilung einen unverhältnismäßigen Aufwand darstelle.

Wie können Unternehmen mit dem Auskunftsrecht umgehen?

Aufgrund der bestehenden Uneinigkeit über den Umfang des Auskunftsrechts, ist es zurzeit nicht möglich zu sagen, wie am sichersten mit einem Auskunftsersuchen von Betroffenen umzugehen ist. Wie immer im Bereich Datenschutz empfiehlt es sich, im Unternehmen Prozesse zu etablieren, um schnell und souverän auf solche Ersuchen reagieren zu können.

Die Datenverarbeitungspraxis sollte so unkompliziert wie möglich gestaltet werden. Eine zentrale Verwaltung von Kundendaten und der Rückgriff auf möglichst wenige externe Dienstleister zur Datenverarbeitung vereinfachen das Erteilen der Auskunft gem. Art. 15 DSGVO. Insbesondere sollte in diesem Zusammenhang der Grundsatz der Datensparsamkeit beachtet werden, also nur diejenigen personenbezogenen Daten verarbeitet werden, die tatsächlich benötigt werden. Das Recht auf Auskunft zu missachten, kann Unternehmen übrigens teuer zu stehen kommen: Gegen die Delivery Hero SE wurde unter anderem wegen der Missachtung von Auskunftsersuchen Betroffener im August 2019 ein Rekordbußgeld von knapp 200.000 € verhängt.

Ausblick

Solange der Umfang des Auskunftsanspruchs aus Art. 15 DSGVO nicht abschließend geklärt ist, muss für jedes Auskunftsersuchen eine absolute Einzelfallprüfung vorgenommen werden, um zu klären, wie umfangreich auf dieses reagiert wird oder man dies sogar wegen unverhältnismäßig großem Aufwand ablehnt. Auf Nummer sicher gehen Unternehmen auf jeden Fall, wenn eine Kopie tatsächlich aller Dokumente, in denen personenbezogene Daten verarbeitet wurden, an den Betroffenen herausgeben werden. Um für Rechtssicherheit in allen Ländern, in denen die DSGVO angewendet wird, zu sorgen, müsste der europäische Gesetzgeber aktiv werden und den Umfang des Auskunftsrechts konkretisieren.