< zurück zum Blog

Neue Rechtsprechung zum datenschutzrechtlichen Auskunftsanspruch

07.09.2021

Mit dem datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO haben wir uns bereits in unseren Blogbeiträgen https://sidit.de/blog/das-auskunftsrecht-nach-art-15-dsgvo und https://sidit.de/blog/die-betroffenenrechte-beim-verantwortlichen-nach-dsgvo beschäftigt. In unserem heutigen Artikel wollen wir Sie über die neuesten Entwicklungen und Entscheidungen in diesem Bereich, insbesondere über die Auswirkungen des neuesten BGH-Urteils zu diesem Thema informieren.

Was ist ein datenschutzrechtlicher Auskunftsanspruch?

Nach Art. 15 DSGVO steht jedem Betroffenen das Recht zu, von Verantwortlichen zu erfahren, ob diese ihn betreffende personenbezogene Daten verarbeiten. Wird dies bejaht, kann der Betroffene in einem zweiten Schritt verlangen, dass ihm Auskunft darüber erteilt wird, welche personenbezogene Daten zu welchem Zweck für welchen Zeitraum usw. verarbeitet werden.
Inhaltlich umfasst dieser Auskunftsanspruch alle personenbezogenen Daten, die über den Betroffenen gespeichert sind. Daneben sind die Empfänger von Daten in der Auskunft aufzulisten.
Soweit keine personenbezogenen Daten des Betroffenen verarbeitet werden, muss der Verantwortliche eine sog. Negativauskunft erteilen.
Eine solche Auskunft darf wiederholt, jedoch nicht missbräuchlich oder unbegründet verlangt werden und muss kostenlos erfolgen.

Was hat der Verantwortliche in dem Fall eines Auskunftsanspruchs zu tun?

Zuständig für die Auskunft ist jeweils der Verantwortliche, der die Daten bei dem Betroffenen erhoben hat. Sobald ein Auftragsverarbeiter mit einem Auskunftsanspruch konfrontiert wird, muss er diesen an den Auftraggeber weiterleiten.
Wichtig ist, dass Sie vor jeder Auskunft prüfen, ob es sich bei der auskunftsverlangenden Person wirklich um die Person handelt, über die Auskunft verlangt wird. Eine besondere Gefahrenquelle liegt hierbei bei telefonischen Auskunftsanfragen oder Anfragen per E-Mail.
Daneben sollte man als Verantwortlicher stets darauf achten, dass man im Rahmen der Auskunft keine personenbezogenen Daten Dritter oder Geschäfts- bzw. Betriebsgeheimnisse des eigenen Unternehmens preisgibt. Dies kann man z.B. durch Schwärzen der entsprechenden Stellen sicherstellen.

Die Auskunft muss unverzüglich, jedoch spätestens innerhalb eines Monats ab Eingang der Anfrage erfolgen. Auch die Ablehnung der Auskunftsanfrage muss innerhalb eines Monats erfolgen.
Dazu sollte die Auskunft nach Art. 15 DSGVO stets auf die Betroffenenrechte, z.B. mit Hilfe einer Datenschutzbelehrung sowie auf das Beschwerderecht nach Art. 15 Abs.1 lit. f DSGVO hinweisen.

Umfang der Auskunft – Stellungnahme der Gerichte

Lange Zeit ungeklärt bzw. nicht final entschieden war der Umfang des Auskunftsanspruchs.
Es war insbesondere für die Verantwortlichen unklar, wie weit dieser Umfang der Auskunft auszulegen ist und ob daher alle Dokumente, in denen personenbezogene Daten des Betroffenen enthalten sind, herauszugeben sind.
Denn Art. 15 DSGVO ist diesbezüglich nicht klar formuliert, sondern setzt nur fest, dass eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung gestellt werden muss.
Wenn nun all diese Daten in Kopie an den Betroffenen herausgegeben werden müssen, stellt dies unter Umständen einen enormen Aufwand für einen Verantwortlichen dar.
Doch genau hierfür hat sich nun der BGH in seinem Urteil vom 15.06.2021 - Az.: VI ZR 576/19 ausgesprochen.

Hiernach müssen dem Betroffenen alle Daten im Rahmen einer Datenkopie so bereitgestellt werden, wie sie dem Verantwortlichen zum Zeitpunkt der Auskunft vorliegen.
Dies gilt unabhängig davon, ob es sich hierbei um externe oder interne Daten handelt oder ob die Daten dem Betroffenen bekannt sind oder nicht. Daneben ist der Zeitpunkt der Datenerhebung irrelevant, solange die Daten dem Verantwortlichen noch vorliegen.

Dazu sind die personenbezogenen Daten nicht auf sensible oder private Daten beschränkt, sondern betreffen alle Informationen über die betroffene Person objektiver als auch subjektiver Natur (z.B. Stellungnahmen oder Beurteilungen). Die Auskunft umfasst daher sowohl Kopien von Metadaten, Logeinträgen als auch von interner Kommunikation und Gesprächsnotizen.

Allerdings kann der Verantwortliche vom Betroffenen verlangen, dass dieser sein Auskunftsverlangen präzisiert, wenn der Verantwortliche eine große Menge an personenbezogenen Daten des Betroffenen verarbeitet.

Nur durch eine solche umfassende Auskunft kann sich der Betroffene ein umfassendes Bild davon machen, welche Daten von ihm verarbeitet werden. Gleichzeitig kann er hierdurch prüfen, ob die verarbeiteten Daten richtig sind und zulässig verarbeitet werden.

So sieht das auch das LAG Stuttgart in seinem Urteil vom 17.03.2021 - Az.: 21 Sa 43/20. Hierin teilt das LAG Stuttgart die Ansicht des BGH und hebt noch einmal das Recht des Betroffenen, die verarbeiteten Daten in Kopie zu erhalten, hervor.

Sie sehen also, dass im Falle eines Auskunftsanspruchs unter Umständen eine Menge an Daten in Kopie dem Betroffenen zur Verfügung gestellt werden müssen. Es empfiehlt sich daher, im Unternehmen Prozesse zu etablieren, um schnell und souverän auf solche Anfragen reagieren zu können.
Daher raten wir dazu, Kunden – oder Mitarbeiterdaten zentral zu verwalten und auf möglichst wenige externe Dienstleister zur Datenverarbeitung zurückzugreifen. Dies ergibt sich nicht zuletzt schon aus dem Grundsatz der Datenminimierung und Transparenz in der Datenverarbeitung.

Haben Sie noch Fragen in diesem Bereich, benötigen einen Datenschutzbeauftragten oder datenschutzrechtliche Beratung? - Kontaktieren Sie uns gerne unter 0931-780 877-0 oder info@sidit.de.

Weiterführende Links

https://sidit.de/blog/das-auskunftsrecht-nach-art-15-dsgvo https://sidit.de/blog/die-betroffenenrechte-beim-verantwortlichen-nach-dsgvo

Zum Aktivieren der eingebetteten Karte bitte auf den Link klicken. Durch das Aktivieren werden Daten an den jeweiligen Anbieter übermittelt. Weitere Informationen können unserer Datenschutzerklärung entnommen werden

Inhalt anzeigen

Ihr direkter Kontakt zu uns

SiDIT GmbH
Langgasse 20
97261 Güntersleben

Bürozeiten:
Montag bis Freitag von 8-16 Uhr.