Die Frage, welche Daten an einen Auskunftsersuchenden nach Art. 15 DSGVO wirklich herauszugeben sind, ist höchst umstritten und praktisch von äußerster Relevanz. Wir haben in der Vergangenheit schon darüber berichtet. Gerade in arbeitsrechtlichen Verfahren versprechenden sich klagende Arbeitnehmer davon entweder eine hilfreiche Unterstützung für ihre Argumentation oder wollen einfach durch den evtl. entstehenden Aufwand für den Arbeitgeber die Verhandlungsmasse erhöhen. Besonders interessant wird dies, wenn gleichzeitig eine Kopie der Daten verlangt wird, wie es nach Art. 15 Abs. 3 DSGVO möglich ist.
Auf die vergangenden Entscheidungen wollen wir hier aber gar nicht weiter groß eingehen, denn der BGH hat eine wichtige Einscheidung zu diesem Thema getroffen, die man beachten und sich darauf einstellen sollte.
Der Kläger hatte in diesem Verfahren gegen den beklagten Versicherer Ansprüche auf Datenauskunft geltend gemacht. Zunächst stützte sich dieser Antrag auf § 34 BDSG a.F. zuletzt auf Art. 15 DSGVO.
Der Anspruch aus Art. 15 DSGVO ist dreigeteilt: Der Betroffene kann verlangen, dass der für die Daten Verantwortliche bestätigt, ob ihn betreffende, personenbezogene Daten verarbeitet werden. Werden sie verarbeitet, steht ihm auch ein Recht auf Auskunft über diese Daten zu. Zusätzlich kann er nach Art. 15 Abs. 3 DSGVO den Erhalt einer Kopie der verarbeiteten Daten fordern (s.o.).
Die Versicherung erteilte in der Vergangenheit bereits mehrfach Auskunft, die der Kläger aber immer als unvollständig empfand. Sowohl das Amtsgericht Brühl als auch das Landgericht Köln (Urt. v. 19.06.2019, Az 26 S 13/18) wiesen die Auskunftsklage ab. Vor dem BGH hatte die Revision des Klägers jedoch größtenteils Erfolg, da das Versicherungsunternehmen bisher weder zu der Korrespondenz mit dem Versicherten noch zu internen (Telefon-)Vermerken Auskunft erteilt hatte.
Der BGH kam in dem entschiedenen Rechtsstreit (Urt. v. 15.06.2021, Az. VI ZR) also zu dem Ergebnis, dass der Auskunftsanspruch sich auch auf interne Dokumente bezieht, wenn diese personenbezogene Daten enthalten.
Ferner ist der BGH der Ansicht, dass auch zurückliegende Korrespondenzen der Parteien dem Auskunftsanspruch unterliege. Der Auskunftsanspruch diene nach Erwägungsgrund 63 Satz 1 der DSGVO dazu, dass sich Betroffene hinsichtlich der sie betreffenden personenbezogenen Daten dem Zweck der Verarbeitung und der Verarbeitung selbst bewusst sind sowie um deren Rechtmäßigkeit überprüfen könne. Dass der Betroffene zwangsläufig den Inhalt der von ihm versendeten oder empfangenen Schreiben schon kennt, ändere nichts an der Einordnung ihres Inhalts als personenbezogene Daten im Sinne der DSGVO, denn dass eine Korrespondenz früher einmal stattgefunden hat bedeute nicht, dass der Verantwortliche diese Daten aktuell immer noch verarbeite. Dafür spreche auch, dass der Betroffene seinen Auskunftsanspruch aus Art. 15 DSGVO mehrfach geltend machen könne, in diesem Fall kenne er (einen Teil) der verarbeiteten Daten auch schon.
Eine Einschränkung machte das Gericht insofern, wenn bei internen Vorgängen eine rechtliche Bewertung vorgenommen wird:
"Soweit der Kläger Auskunft über die internen Bewertungen der Beklagten zu den Ansprüchen des Klägers aus der streitgegenständlichen Versicherungspolice verlangt, ist allerdings zu beachten, dass nach der Rechtsprechung des Gerichtshofs der Europäischen Union rechtliche Analysen zwar personenbezogene Daten enthalten können, die auf der Grundlage dieser personenbezogenen Daten vorgenommene Beurteilung der Rechtslage selbst aber keine Information über den Betroffenen und damit kein personenbezogenes Datum darstellt (vgl. EuGH, Urteil vom 17. Juli 2014 - Rs. C-141/12 und C-372/12, CR 2015, 103 Rn. 39 ff.). Daten über Provisionszahlungen der Beklagten an Dritte haben nach den vom Europäischen Gerichtshof entwickelten Kriterien ebenfalls keinen Bezug zur Person des Klägers, Sein nach dem Vorbringen der Revision auch hierauf gerichtetes Auskunftsbegehren kann der Kläger daher nicht auf die DS-GVO stützen."
Dieses Urteil zeigt, dass ein Auskunftsanspruch nur bedingt eingeschränkt werden kann. Für die Verantwortlichen heißt es sich in ihrer internen Kommunikation auf das sachliche zu beschränken und technische Vorbereitungen zu treffen um Auskünfte fristgemäß und vollständig erteilen zu können. Aus meiner Sicht ist hier auch die Politik gefragt, da das prozessuale Gleichgewicht unangemessen durch einen derartig weitgehenden Anspruch verlagert wird.
In diesem Zusammenhang sei auch an eine Entscheidung des Arbeitsgerichts Düsseldorf erinnert, welches für eine verspätete Auskunft nach Art. 15 DSGVO für die ersten zwei Monate der Verspätung jeweils 500,- € und für die weiteren drei Monate jeweils 1.000 € immateriellen Schdenersatz auf Grundlage von Art. 82 DSGVO zugesprochen hat (vgl. RDV 2021, S. 121).
Weitere informationen finden Sie hier:
