Datenschutz und Auskunft - Urteil des Bundesgerichtshofes -

Worum geht es?

In einem bemerkenswerten Urteil des Bundesgerichtshofes (BGH) am 15.06.2021 (Az. VI ZR 576/19) im Datenschutz über die Voraussetzungen und Reichweite einer Auskunft entschieden. Der BGH legt den Auskunftsanspruch sehr weit aus. In der Zukunft sind nur noch sehr wenige Konstellationen denkbar, in denen personenbezogene Daten nicht von dem Auskunftsanspruch erfasst werden. Insbesondere lässt der BGH nicht den Einwand eines unverhältnismäßigen Aufwands des für die Datenverarbeitung Verantwortlichen gelten.

Der Anspruch aus Art. 15 DSGVO ist dreigeteilt:

Der Betroffene kann verlangen, dass der für die Daten Verantwortliche bestätigt, ob ihn betreffende, personenbezogene Daten verarbeitet werden.
Werden sie verarbeitet, steht ihm auch ein Recht auf Auskunft über diese Daten zu.
Zusätzlich kann er nach Art. 15 Abs. 3 DSGVO den Erhalt einer Kopie der verarbeiteten Daten fordern. Der Anspruch auf Erteilung einer Kopie folgt dabei in dem Umfang dem Auskunftsanspruch.

Reizt man den Anspruch auf Auskunft und Erhalt einer Kopie aus, erhält man so insbesondere vor Gericht ein hervorragendes Mittel, um den Gegner eine Weile zu beschäftigen und ihn gleichzeitig auszuforschen. Hier gibt es unterschiedliche Lager:

Verbraucher- und Arbeitnehmervertreter plädieren für einen umfassenden Auskunfts- und Kopieanspruch.
Von den Auskunftspflichtigen, insbesondere den Unternehmen, wird die vermehrte prozesstaktische Nutzung des Anspruchs mit Sorge betrachtet.
Legatech-Unternehmen und spezialisierte Rechtsanwälte sehen hier lukrative Verdienstmöglichkeiten, in dem Sie von den Betroffenen sich vertreten lassen und Bußgelder erstreiten.

Darum ging es bei dem Urteil

Ein Mann schloss 1997 einen Vertrag über eine Lebensversicherung. Im Jahr 2016 widersprach er dem Zustandekommen des Vertrags. Nachdem das Versicherungsunternehmen den Widerspruch zurückwies, forderte der Mann zunächst eine „Datenauskunft im Sinne von § 34 Bundesdatenschutzgesetz (BDSG-Alt)“. Mit Gültigkeit der DSGVO trat der Auskunftsanspruch nach Art. 15 DSGVO in den Vordergrund . Die Versicherung erteilte zwar in der Folge mehrfach Auskunft, die der Mann aber immer als unvollständig zurückwies. Das Amtsgericht Brühl und auch das Landgericht Köln wiesen die Auskunftsklage ab. Da die Revision zugelassen wurde, klagte der Mann weiter und hatte nun vor dem BGH größtenteils Erfolg. Das Versicherungsunternehmen habe bisher weder zu der Korrespondenz mit dem Versicherten noch zu internen (Telefon-)Vermerken Auskunft erteilt. Der Auskunftsanspruch ist nach dem BGH daher noch nicht erfüllt.

Weite Auslegung der Auskunft

Unter dem Auskunftsanspruch fällt laut BGH auch die Korrespondenz zwischen dem Mann und dem Versicherungsunternehmen. Dabei führte der BGH aus, dass der Betroffene zwangsläufig den Inhalt der Korrenspondenz schon kennt – dies ändere aber nichts an der Einordnung als personenbezogene Daten des Mannes. Eine früher stattgefundene Korrespondenz bedeutet zunächst nicht, dass der Verantwortliche diese Daten aktuell immer noch verarbeitet. Es mag auch sein, dass frühere Korrespondenz den Mann nicht erreicht hat. Eine Auskunft ist zusätzlich auch über interne Vermerke und die interne Kommunikation zu erteilen.

Nach diesen Grundsätzen können […] die zurückliegende Korrespondenz der Parteien, das „Prämienkonto“ des Klägers und Daten des Versicherungsscheins sowie interne Vermerke und Kommunikation der Beklagten nicht kategorisch vom Anwendungsbereich des Art. 15 Abs. 1 DS-GVO ausgeschlossen werden.
Urteil des VI. Zivilsenats vom 15.6.2021 – VI ZR 576/19 – (bundesgerichtshof.de)

Die Grenze in dem konkreten Fall zog der BGH, wenn eine rechtliche Bewertung interner Vorgänge vorgenommen wird. Die interne Beurteilung der Rechtslage stellt selbst kein personenbezogenes Datum dar und unterfalle daher auch nicht dem Auskunftsanspruch.

Inhalte des Urteils

Nachfolgend finden Sie noch einmal die Inhalte des Urteils

Personenbezogene Daten, die dem Auskunftsanspruch unterliegen, umfassen in einem weiten Sinne alle Informationen über die in Rede stehende Person. Eine Differenzierung danach, ob die zu beauskunftenden Daten besonders wichtig, sensibel oder privat sind, ist unzulässig.
Erteilen Sie eine Auskunft auch über die personenbezogenen Daten , die dem Auskunftsersuchenden bereits bekannt sind, also etwa
- Briefe, E-Mails, Produkt- sowie Servicebewertungen oder Beiträge im Rahmen von Kundenbefragungen, die der Betroffene selbst verfasst hat;
- Schreiben, wie etwa Service E-Mails im Rahmen der kreditorischen Bearbeitung (z. B. Änderung/Stundung eines Kredits) oder Mahnungen, die dem Betroffenen bereits zugestellt worden sind.
Auch erfasst vom Auskunftsanspruch ist die Korrespondenz mit Dritten über den Betroffenen sowie die interne Kommunikation über den Betroffenen. Dies betrifft etwa
- interne Vermerke über den Betroffenen, bspw. über Telefongespräche mit dem Kundenservice oder auch
- Vermerke, ob die Anfrage des Betroffenen an die Geschäftsleitung oder einen Rechtsanwalt weitergeleitet worden ist, wobei rechtliche Beurteilungen selbst davon zu trennen sind (dazu sogleich).
Ausgenommen vom Auskunftsanspruch sind laut BGH rechtliche Analysen, die auf der Grundlage der personenbezogenen Daten des Betroffenen erfolgen. Die Daten, die die Grundlage für die Beurteilung bilden, sind allerdings dennoch vom Auskunftsanspruch erfasst.
Der Betroffene kann grundsätzlich auch mehrfach Auskunft verlangen.

Die Folgen des Auskunftsanspruchs

Die Entscheidung des BGH stellt Unternehmen vor erhebliche Herausforderungen, den gesetzlichen Auskunftsanspruch in Zukunft nach den vom BGH getätigten Vorgaben erfüllen zu können. Dies liegt unter anderem daran, dass einzelne Datenkategorien häufig nur schwer im Rahmen automatisierter Verfahren „zusammengesammelt“ werden können.

Auskunft kann nur noch in absoluten Ausnahmefällen verweigert bzw. beschränkt werden, z. B. wenn der Auskunftsanspruch rechtsmissbräuchlich (wiederholt/exzessiv) ausgeübt wird oder Geschäftsgeheimnisse oder Daten von anderen Betroffenen Teil der Auskunft sind. Die Ausnahmen sind allerdings eng auszulegen und deren Vorliegen muss regelmäßig auch vom Verantwortlichen nachgewiesen werden können.

Eine hilfreiche Einschränkung sieht die DSGVO lediglich bei großen Datenmengen vor.

Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.
https://dsgvo-gesetz.de/erwaegungsgruende/nr-63/

Bei großen Datenmengen ist es sinnvoll, eine stufenweise Erteilung der datenschutzrechtlichen Auskunft durchzuführen, um den Aufwand für das Unternehmen angemessen umzusetzen, bis der Auskunftsanspruch befriedigt ist.

Fazit

Ihr Unternehmen

hat diverse IT-Systeme im Einsatz, in denen personenbezogene Daten verarbeitet werden?
verarbeitet personenbezogene Daten in verschiedenen Abteilungen zu unterschiedlichen Zwecke?
verarbeitet Daten überwiegend von Endkunden (B2C)?
führt viele Bewerbungsgepräche?
hat diverse Meinungsdifferenzen in der Belegschaft und die Stimmung der Beschäftigten im Unternehmen ist nicht immer rosig?

Dann sollten Sie fiktive Auskunftsersuchen für verschiedene Zielgruppen durchführen, um Erfahrungen zu sammeln und die Auskunftsbegehren optimal und innerhalb kurzer Zeit beantworten zu können,

Aus unserer Erfahrung werden Auskunftsbegehren immer dann entstehen, wenn es um Meinungsunterschiede, offene Forderungen oder eine exzessive oder eingriffsinvasive Datenverarbeitung im Endkundengeschäft (B2C) geht. Einige Agenturen und spezialisierte Rechtsanwälte führen zudem automatisierte Auskunftsbegehren für Betroffenengruppen durch. Bei nichterfolgten, fehlerhaften oder unvollständigen Auskunftsbegehren kann dann ein Bußgeld oder ein Vergleich anteilig erstritten werden. Je professioneller Sie hier aufgestellt sind, desto gelassener können Sie einem Auskunftsbegehren entgegensehen.

Wenn Sie in der Umsetzung der Betroffenenbegehren Unterstützung benötigen, steht Ihnen die IT.DS Beratung auch in diesem Bereich als kompetenter Ansprechpartner zur Verfügung. Nehmen Sie gerne Kontakt auf.