Der Auskunftsanspruch nach Art. 15 DSGVO – aktuelle Urteile

Der Europäische Datenschutzausschuss (EDSA) identifizierte zuletzt sieben zentrale Herausforderungen, denen sich Verantwortliche bei der Bearbeitung von Auskunftsanfragen gem. Art. 15 DSGVO gegenübersehen. Regelmäßig landen diese auch vor verschiedenen Gerichten. Eine Rechtsprechungsübersicht.

Unternehmen müssen einerseits vollständige und transparente Auskünfte erteilen, andererseits sind sie auch teils mit unberechtigten oder missbräuchlichen Anfragen konfrontiert. Während der BGH die Grenzen des Anspruchs präzisiert, zeigen andere Urteile, dass Anträge nicht pauschal abgelehnt oder verjährt sein können. Um Bußgelder und rechtliche Risiken zu vermeiden, sollten Unternehmen klare Prozesse implementieren und moderne Lösungen wie Self-Service-Portale nutzen.

BGH: Umfang und Grenzen des Auskunftsanspruch gem. Art. 15 DSGVO gegen Versicherung 

Der Bundesgerichtshof beleuchtete zuletzt mehrfach den Umfang des Auskunftsanspruchs nach Art. 15 DSGVO.

Im Urteil vom 16.4.2024 (VI ZR 223/21) forderte eine Versicherungsnehmerin von ihrem Versicherer umfassende Auskunft über ihre personenbezogenen Daten sowie relevante Dokumente im Zusammenhang mit einem gekündigten Versicherungsvertrag. Insbesondere forderte sie Kopien von Kündigungsschreiben, Versicherungsscheinen und Buchungsdaten, um die Möglichkeit eines Widerrufs zu prüfen. Der Versicherer stellte jedoch lediglich ausgewählte Basisinformationen zur Verfügung. Der BGH stellt fest, dass alle Schreiben einer Person an eine Versicherung, also der betroffenen Person (z. B. Kündigungen, Vertragsanfragen, Gesundheitsangaben) vollständig als personenbezogene Daten gelten. Dagegen Schreiben der Versicherung (Verantwortliche) an die Person (z. B. Versicherungsschein, Zahlungserinnerungen, Abrechnungen) sind nur dann personenbezogene Daten, wenn sie Informationen über die Person enthalten. Finanzdaten wie Fondsgewinne, Verwaltungskosten oder Risikoanalysen zählen nicht als personenbezogene Daten.

Der BGH bestätigte zudem in einer weiteren Entscheidung seine bisherige Rechtsprechung, dass Art. 15 DSGVO keinen Anspruch auf die Herausgabe von Begründungsschreiben und Anlagen zu Prämienanpassungen in der privaten Krankenversicherung gewährt (BGH, Urteil vom 18.12.2024 – IV ZR 207/23). Ein Versicherungsnehmer hatte von seiner Versicherung Auskunft über Beitragsanpassungen vergangener Jahre verlangt, einschließlich detaillierter Begründungen und zugehöriger Dokumente. Der BGH wies die Klage zurück und bekräftigte seine bisherige Rechtsprechung, wonach solche Schreiben nicht in ihrer Gesamtheit als personenbezogene Daten gelten. Nur die darin enthaltenen personenbezogenen Informationen unterfallen dem Auskunftsanspruch, nicht aber die Begründung selbst oder allgemeine geschäftliche Unterlagen.

Unternehmen sollten präzise zwischen personenbezogenen und nicht personenbezogenen Daten unterscheiden und nur relevante Informationen herausgeben. Eine strukturierte Dokumentation und optimierte interne Prozesse helfen, den Auskunftsanspruch korrekt zu begrenzen und unnötige Offenlegungen zu vermeiden.

OLG Düsseldorf: Abtretbarkeit des Auskunftsanspruchs 

Das OLG Düsseldorf (Urteil vom 21.11.2024 – 6 U 114/23) stellt klar, dass der Auskunftsanspruch nach Art. 15 DSGVO ein höchstpersönliches Recht ist und nicht abgetreten werden kann. Zudem kann ein Auskunftsbegehren als rechtsmissbräuchlich abgelehnt werden, wenn es nur der Schadensersatzvorbereitung dient.

Im konkreten Fall hatte die Klägerin versucht, den Anspruch auf eine dritte Person zu übertragen, um wirtschaftliche Forderungen vorzubereiten. Das Gericht lehnte dies mit der Begründung ab, dass das Auskunftsrecht ausschließlich der betroffenen Person zusteht und nicht zur Durchsetzung fremder Ansprüche genutzt werden kann. Zudem wertete es das Begehren als rechtsmissbräuchlich, da die Klägerin die Auskunft nicht zu einem datenschutzrechtlichen Zweck einforderte, sondern um finanzielle Forderungen gegen die Beklagte vorzubereiten. Das OLG Düsseldorf stellte klar, dass das datenschutzrechtliche Auskunftsrecht nicht als Instrument für wirtschaftliche oder prozesstaktische Zwecke missbraucht werden darf.

Unternehmen sollten den höchstpersönlichen Charakter des Auskunftsanspruchs beachten und unberechtigte Anfragen Dritter konsequent ablehnen.

OLG Düsseldorf: Auskunftsverlangen nicht durch anderweitige Nutzung ausgeschlossen 

Das OLG Düsseldorf (Urteil vom 02.12.2024 – 16 W 93/23) entschied, dass das Auskunftsrecht nach Art. 15 DSGVO unabhängig davon besteht, wofür die erhaltenen Daten genutzt werden (z.B. Klagevorbereitung). Eine betroffene Person muss den Antrag nicht begründen, und die Kenntnis der Daten schließt den Anspruch nicht aus.

Im konkreten Fall forderte ein Kläger von einem Online-Glücksspielanbieter Auskunft über seine Spiel- und Zahlungshistorie. Der Anbieter verweigerte die Herausgabe mit der Begründung, dass der Kläger damit eine Klage auf Rückzahlung verlorener Einsätze vorbereiten könnte. Das Gericht stellte klar, dass das Auskunftsrecht unabhängig von der beabsichtigten Nutzung besteht. Eine betroffene Person muss ihren Antrag weder begründen noch ist die Kenntnis der erfragten Daten ein Ausschlusskriterium.

Unternehmen können daher einen Auskunftsanspruch nicht mit dem Argument verweigern, dass die erhaltenen Informationen für eine mögliche Klage genutzt werden könnten.

AG Chemnitz: Keine Verjährung eines Auskunftsanspruchs 

Das AG Chemnitz (Urteil v. 22.11.2024 – 16 C 1063/24) entschied, dass der Auskunftsanspruch nach Art. 15 DSGVO keiner Verjährung unterliegt und jederzeit geltend gemacht werden kann. Eine Versicherung konnte sich daher nicht auf Verjährung berufen.

In diesem Fall verlangte ein Versicherter von seiner privaten Krankenversicherung umfassende Auskunft über die über ihn gespeicherten Daten, darunter Informationen zu Beitragsanpassungen, Tarifwechseln und Vertragsbeendigungen seit 2002. Die Versicherung verweigerte die Auskunft mit der Begründung, der Anspruch sei verjährt. Das Gericht wies diese Argumentation zurück und stellte klar, dass der Auskunftsanspruch ein eigenständiger Primäranspruch ist, der keiner Verjährungsfrist unterliegt. Da die DSGVO keine zeitliche Begrenzung für die Geltendmachung dieses Rechts vorsieht, könne der Anspruch jederzeit geltend gemacht werden – selbst in Fällen, in denen keine personenbezogenen Daten mehr vorhanden sind, da zumindest ein Anspruch auf Negativauskunft bestehe.

Unternehmen sollten sicherstellen, dass sie langfristig auf Auskunftsersuchen reagieren können. Sei es mit einer Negativauskunft oder mit der Auskunft über erhobene Daten. Essenziell ist eine strukturierte Datenverwaltung.

BAG: Grenzen des Schadensersatzes bei datenschutzrechtlichen Auskunftsansprüchen 

Das Bundesarbeitsgericht (BAG, Urteil vom 17. Oktober 2024 – 8 AZR 215/23) hat entschieden, dass ein Anspruch auf Schadensersatz wegen mangelhafter Auskunftserteilung nach Art. 15 DSGVO nur besteht, wenn ein konkret nachweisbarer Schaden vorliegt (BAG, Urteil v. 19.12.2024 – 8 AZR 215/23). Ein Arbeitnehmer hatte nach Ende seines Ausbildungsverhältnisses die Löschung einer Abmahnung sowie Einsicht in seine gespeicherten personenbezogenen Daten gefordert. Da der Arbeitgeber diese Auskunft nur unvollständig erteilte, klagte der Arbeitnehmer auf immateriellen Schadensersatz.

Während das Landesarbeitsgericht ihm noch 2.500 Euro zusprach, lehnte das BAG den Anspruch ab. Es stellte klar, dass allein die Nichterfüllung eines Auskunftsbegehrens oder eine damit verbundene Unsicherheit über die Datenverarbeitung keinen Schaden begründet. Auch wenn personenbezogene Daten im Rahmen einer rechtswidrigen Handlung erlangt wurden, müsse der Kläger konkrete Nachteile nachweisen. Diese Entscheidung stärkt die Rechtssicherheit für Arbeitgeber, betont aber gleichzeitig die Notwendigkeit einer ordnungsgemäßen und transparenten Datenverarbeitung, um Streitigkeiten zu vermeiden.

Die Entscheidung betont die Transparenzpflichten von Arbeitgebern, setzt aber hohe Hürden für Schadensersatzforderungen. Mit klaren Leitlinien können Sie ihre Personalabteilung bei der Bearbeitung von Auskunftsansprüchen unterstützen. Wir beraten Sie gern im Beschäftigtendatenschutz.

Fazit

Das Auskunftsrecht ist ein zentraler Bestandteil des Datenschutzes und erfordert eine transparente sowie rechtssichere Umsetzung. Verstöße können empfindliche Bußgelder nach sich ziehen, doch aktuelle Urteile zeigen auch die Grenzen des Auskunftsanspruchs auf. Unternehmen müssen sicherstellen, dass sie klare Prozesse zur Bearbeitung von Anfragen etablieren, Mitarbeitende schulen und jede Anfrage individuell prüfen – pauschale Ablehnungen sind unzulässig. Eine präzise Definition des Auskunftsumfangs und eine strukturierte Datenverwaltung sind essenziell, um Anfragen effizient zu bearbeiten. Einheitliche und rechtskonforme Aufbewahrungsfristen tragen dazu bei, auch auf langfristige Anfragen reagieren zu können. Der Einsatz von Online-Formularen und Self-Service-Tools kann zudem die Effizienz steigern.

Unternehmen sollten die Hinweise des EDSA umsetzen, um ihre Compliance zu verbessern und das Vertrauen der Betroffenen zu stärken. Wir als Externe Datenschutzbeauftragte unterstützen Sie gerne bei der Entwicklung praxisnaher Datenschutzstrategien.