Schlagwort: Auskunftsanspruch
3. Juli 2023
Vergangene Woche entschied der Europäische Gerichtshof (EuGH) im Rahmen eines Vorabentscheidungsverfahrens (Az. C-579/21) über die Reichweite des Auskunftsanspruchs. Nach Art. 15 Datenschutz-Grundverordnung (DSGVO) habe die betroffene Person auch das Recht zu erfahren, zu welchem Zeitpunkt und aus welchen Gründen die Mitarbeiter eines Verantwortlichen ihre personenbezogenen Daten abfragten.
Sachverhalt
Das Verfahren findet seinen Ursprung bei einem Bankmitarbeiter. Dieser hatte, neben der arbeitsvertraglichen Beziehung auch ein Konto bei der betroffenen Bank. Er erfuhr, dass andere Mitarbeiter der Bank seine Kundendaten mehrmals abgefragt hatten. Daraufhin wollte die betroffene Person wissen, welcher Mitarbeiter seine Kundendaten abgefragt hatten.
Das vorlegende Gericht wollte nun vom EuGH wissen, ob Art. 15 DSGVO den Zugang zu Informationen darüber umfasse, wer die personenbezogenen Daten der betroffenen Person wann und zu welchem Zweck verarbeitet habe.
Weiter Umfang des Art. 15 DSGVO
Ausgangspunkt der Entscheidung über diese Vorlagefrage ist Art. 4 Abs. 1 DSGVO. Die Norm definiert „personenbezogene Daten“ als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (…)“. Laut des Gerichtshofs habe der Unionsgesetzgeber im Rahmen seiner Definition „personenbezogenen Daten“ eine weite Bedeutung beimessen wollen. Demnach umfasse das Auskunftsrecht nach Art. 15 DSGVO die weite Vielfalt aller Informationen, die ein Verantwortlicher verarbeiten könne. Das Ziel des Auskunftsrechts sei es dabei eine faire und transparente Verarbeitung zu gewährleisten. Die betroffene Person solle sich über den Verarbeitungsvorgang als solchen informieren können. Das Informationsrecht umfasse auch solche Informationen, die notwendig seien, um die transparente Verarbeitung zu gewährleisten.
Der EuGH stellte klar, dass zu den notwendigen Informationen auch der Zeitpunkt der Verarbeitung zähle. Zusätzlich sei es ggf. erforderlich, dass ein Verantwortlicher der betroffenen Personen auch Auszüge aus Dokumenten oder Datenbanken zur Verfügung stelle. Damit könne die betroffene Person auch Informationen über den Kontext der Verarbeitung erhalten, die möglicherwiese erforderlich seien, um die Datenverarbeitung richtig einordnen zu können.
Demnach könne sich aus den zur Verfügung gestellten Dokumenten bereits ergeben, wann und in welchem Umfang Mitarbeiter personenbezogene Daten abfragen würden.
Einschränkungen
Es sei aber wichtig zu erkennen, dass Mitarbeiter eines Verantwortlichen keine Empfänger im Sinne des Art. 15 Abs. 1 lit. c DSGVO seien. Nur auf letztere beziehe sich das Auskunftsrecht einer betroffenen Person. Mitarbeiter dürften personenbezogene Daten nach Art. 29 DSGO gerade nur auf Weisung des Verantworltichen verarbeiten.
Welcher Mitarbeiter konkret personenbezogene Daten verarbeite, sei eine Frage, die nur beantwortet werde könne, wenn die Rechte Anderer nicht beeinträchtigt würden. Einerseits könne die Information über den konkreten Mitarbeiter die Transparenz fördern. Andererseits seien die Rechte und Freiheiten der Mitarbeiter zu beachten. Demnach könne die betroffene Person in der Regel nach Art. 15 DSGVO keine Informationen zur Identität eines Mitarbeiters erhalten, der personenbezogene Daten auf Weisung des Verantwortlichen verarbeite.
Fazit
Mit seiner Entscheidung nuanciert der EuGH das Auskunftsrecht der DSGVO und zeigt auf, dass auch die DSGVO keine Gesetzestext ist, der hierarchisch an erster Stelle steht.
13. Januar 2023
Verantwortliche sind verpflichtet, betroffenen Personen auf Anfrage die Identität der Empfänger, gegenüber welchen personenbezogene Daten offengelegt wurden, mitzuteilen. Dies hat der Europäische Gerichtshof (EuGH) nun in einem Urteil (Urt. v. 12.01.2023 – Rs. C-154/21) entschieden.
Sachverhalt
Dem Urteil vorausgegangen war die Klage eines Österreichers, welcher gegenüber der Österreichischen Post sein Auskunftsrecht nach Art. 15 Abs. 1 lit. c DSGVO geltend machte. Auf die Anfrage, welchen Empfängern gegenüber die Post seine personenbezogenen Daten offengelegt habe, beschränkte sich die Österreichische Post zunächst auf die Auskunft, sie verwende personenbezogene Daten im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und stelle die Daten darüber hinaus Geschäftskunden für Marketingzwecke zur Verfügung. Darunter befanden sich unter anderem werbetreibende Händler, IT-Unternehmen, NGOs und Parteien.
Das Auskunftsrecht nach Art. 15 DSGVO
Gemäß Art. 15 DSGVO haben betroffene Personen das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so haben sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
- Die Verarbeitungszwecke;
- die Kategorien personenbezogener Daten, die verarbeitet werden;
- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
- falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
- das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
- wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
- das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Das Urteil eindeutig
Mit seiner Vorlagefrage wollte das vorlegende Gericht im Wesentlichen festgestellt wissen, ob Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die konkrete Identität der Empfänger mitzuteilen.
Das Auskunftsrecht eines Betroffenen nach Art. 15 DSGVO gilt im Allgemeinen als sehr weitgehend, die Grenzen sind aus wissenschaftlicher Sicht noch nicht abschließend ausdiskutiert. Problematisch ist dabei, dass die in Art. 15 enthaltenen Begriffe „Empfänger“ und „Kategorien von Empfängern“ nebeneinander aufgeführt sind, ohne dass daraus geschlossen werden kann, dass zwischen ihnen ein Vorrangverhältnis besteht
Der EuGH urteilte nun, dass dem Betroffenen die konkrete Identität der Empfänger grundsätzlich mitzuteilen sei. Ausnahmen von dem Umfang der Auskunft können jedoch dann bestehen, wenn der Empfänger (noch) nicht identifiziert werden kann oder der Antrag offenkundig unbegründet beziehungsweise exzessiv ist. In diesen Fällen könne sich die Mitteilung auf die Kategorie der Empfänger beschränken.
„(…) Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen. (…)“
Bedeutung für die Praxis
In der Praxis stellt sich nun die Frage, wie Verantwortliche auf das Urteil reagieren sollten.
- Nach Art. 12 Abs. 1 DSGVO können die Informationen schriftlich, auf elektronischem Wege oder, auf Verlangen der betroffenen Person, mündlich erteilt werden
- Bei elektronischer Antragsstellung: Informationen gem. Art. 15 Abs. 3 DSGVO in einem gängigen elektronischen Format zur Verfügung zu stellen
- Informationen gemäß Art. 12 Abs. 3 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen (Frist kann in komplexen Fällen um zwei Monate verlängert werden)
- Informationen sind grundsätzlich kostenlos zur Verfügung zu stellen
- Neu ist, dass nun jeder einzelne Empfänger der Daten offengelegt werden muss, es sei denn, die betroffene Person entscheidet sich für eine bloße Offenlegung der Empfängerkategorien
- Ausnahmen: Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO
Was für Strafen drohen Unternehmen, die der spezifischen Auskunftspflicht nicht nachkommen?
- Bußgelder: DSGVO droht mit einer Geldbuße von bis zu 20 Millionen EUR oder bis zu 4 % des weltweit erwirtschafteten Jahresumsatzes im vorangegangenen Geschäftsjahr (angewendet wird der Wert, der höher ist)
- Materieller und immaterieller Schadensersatz (Art. 82 DSGVO): Das Arbeitsgericht Düsseldorf (ArbG Düsseldorf, Urteil vom 5. März 2020, Az. 9 Ca 6557/18) hatte beispielsweise einen Schadenersatz in Höhe von 5.000 Euro wegen verspäteter und unzureichender Auskunftserteilung zugesprochen
Ausblick
Ob dieses Urteil auch Auswirkungen auf die Gestaltung der Informationspflichten im Sinne von Art. 13 Abs. 1 lit. e DSGVO beziehungsweise Art. 14 Abs. 1 lit. e DSGVO haben wird, bleibt noch abzuwarten. Aufgrund der kurzen Reaktionszeit auf Auskunftsersuchen nach Art. 12 Abs. 3 DSGVO sollten Unternehmen aber in jedem Falle vorbereitet sein, die nun erforderlichen Informationen bereitzuhalten.
Rechtsanwalt Dr. Karsten Kinast, Geschäftsführer der KINAST Rechtsanwaltsgesellschaft mbH, hat diese Woche im ARD-Morgenmagazin ein kurzes Interview zu dem Urteil gegeben. Hier geht es zum Bericht des Morgenmagazins.
2. Januar 2023
Die dänische Aufsichtsbehörde hat am 20.5.2022 einen Fall zu der Frage, ob ein Auskunftsanspruch durch einen Auftragsverarbeiter erfüllt werden muss, entschieden.
Über den Sachverhalt
Der Betroffene hatte auf eBay einen Artikel bei dem Unternehmen Asus gekauft und im Rahmen des Kaufs seine E-Mail-Adresse angegeben. Danach erhielt er eine E-Mail von noreply.invitations@trustpilot.com, in der der Asus Online Shop als Absender angegeben war und in der er gebeten wurde, das Kauferlebnis bei Asus auf Trustpilot zu bewerten. Der Betroffene kontaktierte daraufhin Trustpilot von einer anderen E-Mail-Adresse und bat um Auskunft über eventuell verarbeitete personenbezogene Daten. Trustpilot antwortete und teilte mit, dass kein aktiver Nutzer für die E-Mail gefunden werden konnte und daher keine Daten über den Betroffenen verarbeitet wurden. Der Betroffene erhielt danach erneut eine E-Mail von Trustpilot im Namen des Asus Online Shops. Der Shop bat ihn darin, den Einkauf bei Asus zu bewerten. Der Betroffene beschwerte sich deswegen bei der bayerischen Behörde (BayLDA). Das BayLDA leitete die Beschwerde an die Berliner und diese an die dänische Aufsichtsbehörde weiter.
Die Entscheidung der Behörde
Als die für Trustpilot zuständige Datenschutzbehörde hat sie also darüber entscheiden müssen, ob Trutspilot nach Art. 15 DSGVO verpflichtet war, die Auskunft zu erteilen.
In der Begründung der dänischen Behörde geht hervor, dass allein der für die Verarbeitung Verantwortliche nach Art. 15 DSGVO zur Auskunft an den Betroffenen verpflichtet.
„Da gemäß den Artikeln 12 und 15 nicht der Auftragsverarbeiter, sondern der Verantwortliche verantwortlich ist, einen Antrag auf Auskunft zu bearbeiten und zu beantworten, ist die dänische Datenschutzbehörde der Ansicht, dass Trustpilot nicht gegen diese Bestimmungen verstoßen hat.“
Unterstützungspflicht des Auftragsverarbeiter
Jedoch ist Trustpilot nach Art. 28 Abs. 3 lit. e DSGVO verpflichtet, den Verantwortlichen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannte Rechte der betroffenen Person zu unterstützen.
Außerdem hat der Betroffene im Rahmen seiner Anfrage auch seinen Namen und seine postalische Adresse angegeben hatte. Deswegen kritisierte die dänische Datenschutzbehörde, dass Trustpilot keine einheitliche Vorgehensweise bei der Suche nach relevanten Informationen, einschließlich des Namens und der Adresse, die der Betroffene im Zusammenhang mit seiner Anfrage übermittelt hat, umgesetzt hat. Trustpilot war offenbar nicht in der Lage, nach dem Namen und der Adresse zu suchen und einen Vergleich durchzuführen. Dadurch hätte Trustpilot die Möglichkeit gehabt, die betroffene Person zu identifizieren und, als Auftragsverarbeiter, den Verantwortlichen in dem vereinbarten Umfang bei der Verarbeitung zu unterstützen. Die dänische Behörde hat dies jedoch nur als Hinweis an Trustpilot gegeben und das Verfahren eingestellt.
Fazit
In der Begründung empfiehlt die Aufsichtsbehörde, dass Trustpilot zusätzliche Daten (Name und Adresse) als Auftragsverarbeiter erhalten soll, die für die eigene Leistung nicht unbedingt erforderlich sind, aber für Betroffenenanfragen relevant sein könnten. Diese Empfehlung mag aus Sicht der Erleichterung von Betroffenenanfragen zwar sinnvoll sein, doch ist der Verantwortliche (für den Trustpilot als Auftragsverarbeiter auch bei Betroffenenanfragen unterstützen muss) laut Art. 11 DSGVO nicht verpflichtet, zusätzliche personenbezogene Daten zu verarbeiten, nur um Betroffenenrechte zu erfüllen. Zu beachten ist, dass die erforderlichen Daten (Name und Adresse) bereits beim Verantwortlichen vorliegen. Eine mögliche Alternative könnte sein, dass Trustpilot die Anfrage des Betroffenen (inklusive der unbekannten E-Mail-Adresse) direkt an den Verantwortlichen weiterleitet.
17. August 2022
Mit Urteil vom 14. Juli 2022 (Az. 15 U 137/21) entschied das OLG Köln, dass die verspätete datenschutzrechtliche Auskunftserteilung einen Schadensersatzanspruch nach Art. 82 DSGVO begründet.
Der Sachverhalt
Hintergrund des Urteils war ein Mandatsverhältnis zwischen der Klägerin und ihrem Anwalt. Die Klägerin hatte den Anwalt mit der rechtlichen Betreuung eines Verkehrsunfalls beauftragt. Zu diesem Zweck schlossen die Parteien einen Vertrag über die Mandatsbetreuung im September 2016.
Allerdings habe die Klägerin, ihrer Darstellung entsprechend, ihren Anwalt nur schwer erreichen können. Deswegen habe sie im Januar 2020 den Vertag mit ihrem Anwalt gekündigt. Außerdem habe sie eine vollständige Datenauskunft von ihrem Anwalt verlangt. Das Ziel der Klägerin sei es gewesen, eine Auskunft darüber zu erhalten, welche ihrer personenbezogenen Daten der Anwalt im Rahmen des Mandatsverhältnisses verarbeitet hatte. Dieser Anspruch sei erst im Oktober 2020 erfüllt worden.
Anspruch aus Art. 82 DSGVO
Das OLG stellte zunächst fest, dass der Anwalt als Verantwortlicher im Sinne der DSGVO die Frist zur Beantwortung eines Auskunftsanspruchs von einem Monat überschritten habe. Dies folge aus Art. 15 Abs. 1, 3 und Art. 12 Abs. 3 S. 1 DSGVO.
Das Gericht beschäftigte sich anschließend mit der Frage, welches Verhalten in diesem Fall den Schaden begründete. Entgegen der erstinstanzlichen Ansicht sei dafür nicht per se eine der Verordnung nicht entsprechende Verarbeitung erforderlich. Vielmehr könne der Schaden mit einem Verstoß gegen die Auskunftspflicht des Verantwortlichen begründet werden.
Das Gericht stellte fest, dass zwar auch ErwG. 146 DSGVO davon spreche, „(…) dass Schäden ersetzt werden sollen, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht.“ (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17).
Allerdings ergebe sich aus ErwG. 60 DSGVO, „(…) dass die Grundsätze einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird.“ (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17). Folglich gestehe die DSGVO der betroffenen Personen einen Auskunftsanspruch zu, um Kenntnis über den Verarbeitungsvorgang zu erlangen. Außerdem könne die betroffene Person auf diese Weise die Rechtmäßigkeit der Verarbeitung überprüfen. Der Auskunftsanspruch diene daher einer transparenten Verarbeitung, sodass „die Ersatzpflicht nach Art. 82 Abs. 1 DSGVO auf jeden Verstoß gegen Regelungen der Verordnung anzuwenden“ sei (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17).
Darüber hinaus stellte das Gericht fest, dass die Klägerin einen immateriellen Schaden erlitten habe. In diesem Fall ließ das Gericht offen, ob bereits der Verstoß gegen die DSGVO den Schaden begründen könne (so: LAG Schleswig-Holstein, Az. 6 TA 49/22; wir berichteten).
13. Juni 2022
Das Landgericht (LG) Essen lehnte mit Urteil vom 23.02.2022 (AZ: 18 O 204/21) einen Auskunftsanspruch aus Art. 15 DSGVO unter anderem wegen Rechtsmissbrauchs ab.
Vorausgegangen war ein Rechtsstreit zwischen einem privatversicherten Mann und seiner Versicherung. Die Versicherung passte den monatlich zu zahlenden Betrag mehrmals einseitig an. Dabei sandte sie jeweils Mitteilungs- und Informationsschreiben an den Mann. Dieser ging davon aus, dass die Anpassungen unwirksam waren und forderte sein Geld zurück. Er gab allerdings an, die Versicherungsunterlagen zur Bezifferung der Ansprüche nicht mehr zu haben. Er erhob Klage und machte sowohl Auskunft bezüglich der Unterlagen, als auch Rückzahlungsansprüche geltend.
Das LG Essen wies die Klage jedoch ab. Auskunftsansprüche seien keine ersichtlich. Der Anspruch aus Art. 15 DSGVO scheitere bereits daran, dass es sich bei dem standardisierten Begründungsschreiben, mit dem der Beitrag erhöht wurde, nicht um personenbezogene Daten handle. Außerdem habe die Beklagte ein Weigerungsrecht aus Art. 12 Abs. 5 Satz 2 lit. b) DSGVO, hier stünde dem Antrag des Klägers der Einwand des Rechtsmissbrauchs entgegen. Der Kläger habe hier kein schützenswertes Eigeninteresse. Denn Sinn und Zweck des in Art. 15 DSGVO normierten Auskunftsrechts sei es, der betroffenen Person problemlos und in angemessenen Abständen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu werden und die Rechtmäßigkeit dieser Verarbeitung überprüfen zu können. Dies liegt in diesem Fall nicht vor: “Um ein solches Bewusstwerden zum Zweck einer Überprüfung der datenschutzrechtlichen Zulässigkeit der Verarbeitung personenbezogener Daten geht es dem Kläger nach seinem eigenen Klagevorbringen hingegen nicht. Der Kläger macht keines der vorgenannten Interessen geltend. […] Es geht ihm mithin einzig allein um die Überprüfung etwaiger geldwerter Ansprüche gegen die Beklagte. Eine solche Vorgehensweise ist vom Schutzzweck der DSGVO aber nicht umfasst.”
In einer sehr ähnlichen Sache hatte das Landgericht (LG) Paderborn am 15.12.2021 (AZ: 4 O 275/21) ebenfalls einen Anspruch nach Art. 15 DSGVO verneint. Auch hier verlangte ein Versicherungsnehmer von seiner privaten Krankenversicherung Auskünfte, um nach Beitragserhöhungen eine Rückzahlungsforderung geltend machen zu können. In diesem Fall wertete das Gericht die Beitragsanpassungsschreiben allerdings als personenbezogene Daten. Trotzdem griff Art. 15 DSGVO nicht, denn der Versicherung stand auch hier der Eingriff des Rechtsmissbrauches zu. Das Gericht führte dazu aus, dem Kläger ginge es “ausschließlich darum, sich auf möglichst einfache und bequeme Art gebündelt die Informationen zu beschaffen, die er benötigt, um eine bezifferte Leistungsklage auf Rückzahlung möglicherweise rechtsgrundlos gezahlter Beiträge vorbereiten zu können”.
Auch das Oberlandesgericht (OLG) Nürnberg hatte vor kurzem sein Urteil zu rechtsmissbräuchlichen Auskunftsansprüchen ähnlich begründet.
2. Juni 2022
Das OLG Nürnberg entschied in seinem Urteil vom 14.03.2022 (Az. 8 U 2907/21), dass der durch die DSGVO garantierte Auskunftsanspruch nach Art. 15 DSGVO nicht verwendet werden dürfe, um die Begründetheit von Rechtsansprüchen zu überprüfen. Dies stelle eine dem Sinn und Zweck der DSGVO widersprechende rechtsmissbräuchliche Anwendung des Auskunftsanspruchs dar.
Der Rechtsstreit
Hintergrund der Entscheidung war ein Rechtsstreit zwischen einem Versicherungsnehmer und seiner privaten Krankenversicherung. Es war fraglich, ob die erfolgten Beitragserhöhungen wirksam waren. Zusätzlich wollte der Versicherungsnehmer Auskunft darüber erhalten, ob und wann in den Jahren 2013 bis 2016 Beitragsanpassungen erfolgt waren. Neben der Auskunft verlangte der Versicherungsnehmer zusätzlich, Dokumente zu den Beitragsanpassungen zu erhalten.
Kein Auskunftsanspruch nach Art. 15 DSGVO
Um seinen Anspruch auf Informationsverschaffung durchzusetzen, strengte der Kläger u.a. Art. 15 DSGVO an. Nach Art. 15 Abs. 1 DSGVO kann eine betroffene Person grundsätzlich Auskunft darüber verlangen, ob und welche sie betreffende personenbezogenen Daten ein Verantwortlicher verarbeitet.
Allerdings gilt dieser Auskunftsanspruch nicht uneingeschränkt. Nach Art. 12 Abs. 5 S. 2 lit. b DSGVO kann der Verantwortliche die Auskunft verweigern, wenn der Anspruch offensichtlich unbegründet ist oder exzessiv ausgeübt wird.
Das OLG Nürnberg entschied nun, dass neben der exzessiven Ausübung weitere Missbrauchstatbestände denkbar sind. Die Begründung dafür war aus Sicht des OLG Nürnberg der Wortlaut der Norm. Mit dem Wort „insbesondere“ werde impliziert, dass die häufige Antragstellung nur einer von mehreren Verweigerungsgründen sei. Denkbar seien demnach weitere rechtsmissbräuchliche Fälle der Anspruchsausübung.
Im vorliegenden Fall sei rechtsmissbräuchlich gehandelt worden, weil der Antrag nicht vom Schutzzweck der DSGVO umfasst sei. Laut Gericht könne eine betroffene Person ihr Auskunftsrecht ausüben, um „(…) sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu werden und die Rechtmäßigkeit dieser Verarbeitung überprüfen zu können.“ (OLG Nürnberg, Urteil vom 14.03 2022, 8 U 2907/21, Rn. 28). Dies mache auch der Erwägungsgrund 63 DSGVO deutlich. Hier gehe es dem Kläger jedoch gerade nicht darum die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Vielmehr sei es „Sinn und Zweck der (…) begehrten Auskunftserteilung (…) ausschließlich die Überprüfung etwaiger von der Beklagten vorgenommener Prämienanpassungen wegen möglicher formeller Mängel (…)“ vornehmen zu können. (OLG Nürnberg, Urteil vom 14.03 2022, 8 U 2907/21, Rn. 28)
18. März 2022
Nach Art. 15 Abs. 1 DSGVO hat jede betroffene Person das Recht, von dem Verantwortlichen Auskunft darüber zu verlangen, ob und wenn ja, welche personenbezogene Daten von dieser Person verarbeitet werden. Nach Art. 15 Abs. 3 DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.
Mit Urteil vom 27.10.2021 (Az. 16 K 5148/20) verneinte das Finanzgericht Berlin-Brandenburg den Anspruch eines Steuerpflichtigen gegen ein Finanzamt auf Zurverfügungstellung einer physischen oder elektronischen Kopie der Steuerakten jedoch. Begründet wurde dies damit, dass das pauschale Auskunftsverlangen des gesamten Inhalts der vom Finanzamt geführten Steuerakten zu exzessiv sei. Zwar sei, so das Gericht, der Anwendungsbereich der DSGVO auch im Bereich der Steuerverwaltung eröffnet. Auch die weiteren Voraussetzungen der DSGVO seien gegeben, insbesondere stellten alle in einer Steuerakte erfassten Informationen personenbezogene Daten des Steuerpflichtigen dar. Das Recht auf eine umfassende Zurverfügungstellung der gesamten Steuerakte verneinte das FG Berlin-Brandenburg dennoch.
Zur Begründung führte es aus, dass das Recht auf Auskunft und das Recht auf Kopie aus Art. 15 Abs. 1 und Abs. 3 DSGVO einen einheitlichen Anspruch darstelle und das Recht auf Erhalt einer Kopie daher auf die Kataloginformationen des Art. 15 Abs. 1 lit. a bis h DSGVO beschränkt sei, ohne weitere Ansprüche der Betroffenen zu begründen. Insbesondere sei nicht erforderlich eine betroffene Person über sämtliche beim Finanzamt gespeicherte Dokumente oder Dateien zu informieren. Das Ziel des Steuerpflichtigen, eine Überprüfung zu ermöglichen würde erreicht, wenn man ihm die Informationen aus Art. 15 Abs. 1 DSGVO zur Verfügung stelle, d.h. grundlegende Informationen zur Verarbeitung.
Schließlich stünde dem Begehren des Steuerpflichtigen nach Ansicht des Gerichts auch Art. 12 Abs. 5 S. 2 DSGVO entgegen. Danach kann der Verantwortliche bei offenkundig unbegründeten oder exzessiven Anträgen einer betroffenen Person, entweder ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. Im vorliegenden Fall habe der auskunftsbegehrende Steuerpflichtige mit seinem pauschalen Auskunftsverlangen auf Überlassung sämtlicher Akten des Finanzamt in Bezug auf seine Person offensichtlich überschießend gehandelt. Daher konnte das Finanzamt ohne Nachweis für den exzessiven Charakter des Begehrens dieses verneinen. Außerdem diente das Bestreben des Steuerpflichtigen nach Einschätzung des Gerichts auch nicht den Zielen der DSGVO, d.h. dem Schutz seiner Privatsphäre. Auch weitere Anspruchsgrundlagen verneinte das Gericht.
4. März 2022
Auskunftsanspruch nach Art. 15 DS-GVO iVm § 83 SGB X
Wird der Nachlass einer Person geregelt, wird häufig außer Acht gelassen, dass auch analoge oder digitale Daten vererbt werden können. Dies führt dazu, dass Erben häufig nicht wissen, ob und wie sie auf die Daten einer verstorbenen Person zugreifen dürfen. Die DSGVO hat ermöglicht, dass die nationalen Gesetzgeber zum Datennachlass eigene Regelungen treffen dürfen. Der deutsche Gesetzgeber hat diese Möglichkeit im Bereich des Sozialdatenschutzes genutzt, was den Umgang mit den vererbten Daten somit erleichtert.
1. Rechtslage unter der DSGVO
In Art. 15 DSGVO wird der Auskunftsanspruch der betroffenen Person gegenüber dem Verantwortlichen geregelt. Hiernach steht der betroffenen Person das Recht zu, erfahren zu dürfen, welche personenbezogenen Daten von ihr durch die Verantwortlichen verarbeitet werden. Verstirbt eine Person, stellt sich für die Hinterbliebenen jedoch die Frage, ob sie nach aktueller Rechtslage ein Auskunftsbegehren geltend machen können. Das könnte beispielsweise für Hinterbliebene von Interesse sein, wenn es darum geht, ein rechtliches Interesse im Namen der verstorbenen Person durchzusetzen.
Grundsätzlich ist die Datenschutz-Grundverordnung gemäß Erwägungsgrund 27 S.1 DSGVO nicht auf Verstorbene anwendbar. Verstirbt die betroffene Person, wären die Erben nach Satz 1 nicht dazu berechtigt, das Auskunftsbegehren in Hinblick auf die Daten der verstorbenen betroffenen Person geltend zu machen. Satz 2 des Erwägungsgrundes 27 DSGVO ermöglicht es den Mitgliedstaaten jedoch, Vorschriften für die Verarbeitung personenbezogener Daten von Verstorbenen zu erlassen. Der deutsche Gesetzgeber hat im Sozialdatenschutz von dieser Möglichkeit Gebrauch gemacht. In § 35 Abs. 5 SGB I ist folglich ausdrücklich geregelt, dass die DSGVO auch für den Sozialdatenschutz Verstorbener gelten soll. Personenbezogene Daten gemäß Art. 3 Abs.1 DSGVO sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Weder Art. 4 Nr. 1 DSGVO noch Art. 9 DSGVO enthalten den Begriff der Sozialdaten. Allerdings wird dieser in § 67 Abs. 2 S. 1 SGB X genannt, wonach Sozialdaten: personenbezogene Daten gem. Art. 4 Nr. 1 DS-GVO sind, die von einer in § 35 SGB I genannten Stelle im Hinblick auf ihre Aufgaben verarbeitet werden. Die Aufgaben werden in § 67 Abs. 3 SGB X näher definiert.
2. Wo ist das Auskunftsbegehren geregelt?
Das Auskunftsbegehren ist auch für den Sozialdatenschutz in Art. 15 DSGVO geregelt. Gemäß § 35 Abs. 2 SGB I gibt es allerdings die Möglichkeit, Ausnahmen zum Auskunftsbegehren nach Art. 15 DSGVO zu regeln. Solche finden sich in § 83 SGB X. Anspruchsgrundlage für ein Auskunftsbegehren bezogen auf Sozialdaten ist demnach Art. 15 DS-GVO iVm § 83 SGB X.
3. Voraussetzungen für ein Anspruchsbegehren
Damit ein Anspruchsbegehren geltend gemacht werden kann, müssen die folgenden Anspruchsvoraussetzungen erfüllt sein:
a) Verantwortliche
Zunächst muss das Auskunftsbegehren gegenüber dem richtigen Verantwortlichen erfolgen. Dies folgt aus Art. 15 Abs. 1 DSGVO. Wer Verantwortlicher ist, definiert Art. 4 DSGVO, hier gilt jedoch § 67 Abs. 4 SGB X ergänzend.
b) Angehörige und Erbenstellung
In § 35 Abs. 5 SGB I geht nicht ausdrücklich hervor, wer Ansprüche der verstorbenen Person geltend machen darf. Erwähnt werden nur die schutzwürdigen Interessen der verstorbenen Person oder den schutzwürdigen Interessen der Angehörigen. Wer Angehörige sind, ist wiederum in § 16 Abs. 5 SGB X geregelt. Die Verwendung des Begriffs der Angehörigen in § 35 Abs. 5 SGB I ist nicht damit gleichzusetzen, dass diese automatisch auch Anspruchsberechtigte sind. Art. 15 DSGVO nennt nur die betroffene Person selbst, die das Begehren geltend machen kann. Verstirbt die Person jedoch, gehen ihre Daten nach § 1922 BGB in die Erbschaftsmasse über, sodass die Erben in die Rechtsstellung der betroffenen Person eintreten und die Ansprüche geltend machen können. Diese benötigen zum Beweis ihrer Stellung beispielsweise einen Erbschein. Anspruchsberechtigt sind also die Erben, die jedoch nicht unbedingt auch gleichzeitig die Angehörigen sein müssen.
c) Rechtsgrundlage für die Verarbeitung der Daten durch den Verantwortlichen
Aus § 35 Abs. 5 S. 2 SGB I folgt, dass eine Datenverarbeitung dann erfolgen kann, wenn schutzwürdige Interessen des Verstorbenen oder seiner Angehörigen dadurch nicht beeinträchtigt werden. Danach hat eine rechtliche Abwägung stattzufinden, um dadurch zu überprüfen, ob Interessen des Verstorbenen oder seiner Angehörigen gegenüber den Interessen der Verantwortlichen überwiegen.
d) Kein entgegenstehender -mutmaßlicher- Wille der verstorbenen Person
Aus der Formulierung des § 35 Abs. 5 S. 2 SGB I, dass eine Datenverarbeitung erfolgen kann, „wenn schutzwürdige Interessen des Verstorbenen … nicht beeinträchtigt werden“, kann entnommen werden, dass die Verarbeitung nicht gegen den Willen bzw. den mutmaßlichen Willen der verstorbenen Person erfolgen darf. Ob ein solcher Wille bzw. ein mutmaßlicher Wille vorlag, muss der Sozialträger beweisen. Dies ließe sich zB durch Zeugen oder einen Urkundenbeweis belegen, dass die verstorbene Person es ausdrücklich oder mutmaßlich nicht wollte, dass ihre Daten offengelegt werden.
15. Dezember 2021
Die Berliner Senatsjustizverwaltung muss Daten der im Land Berlin beschäftigten Richterinnen und Richter nur zugänglich machen, sofern eine Einwilligungserklärung der Betroffenen vorliegt. Dies geht aus einer Entscheidung des VG Berlin hervor.
Der Entscheidung vorausgegangen war eine Klage der advolytics UG, welche das digitale Bewertungsportal “richterscore” betreibt. Dort können sich Anwälte über Richter austauschen, um sich auf Gerichtsprozesse vorzubereiten. Unter Berufung auf das Berliner Informationsfreiheitsgesetz verlangte advolytics die Übermittlung von Informationen über die im Land Berlin beschäftigten Richterinnen und Richter. Das Auskunftsersuchen beinhaltete neben Namen, Titel und Amtsbezeichnung auch das Geburtsdatum sowie der Beschäftigungsumfang. Insbesondere berief sich die Klägerin darauf, dass dem C.F. Müller Verlag, bei dem der Deutschen Richterbund alle zwei Jahre das “Handbuch der Justiz” herausgibt, die begehrten Daten mitgeteilt werden.
Nach Ansicht des Verwaltungsgerichtes stehe dem Auskunftsanspruch der advolytics jedoch der Schutz personenbezogener Daten entgegen. Die Klägerin verfolge überwiegend Privatinteressen, weil sie mit den begehrten Daten ihr Bewertungsportal ausbauen und damit ihr Geschäftsmodell verwirklichen wolle. Ihr Interesse, die Gerichtsbarkeiten transparenter zu machen, sei nicht vom Zweck des Informationsfreiheitsgesetzes erfasst. Mit den begehrten Daten könne weder staatliches Verwaltungshandeln kontrolliert, noch die demokratische Meinungs- und Willensbildung gefördert werden. Darüber hinaus stünden auch bundesrechtliche Geheimhaltungspflichten der beantragten Datenübermittlung entgegen, da es sich um Daten aus Personalakten handele. Auch im Bezug auf die unterschiedliche Behandlung der Klägerin gegenüber dem Deutschen Richterbund vertrat das Gericht eine gegensätzliche Auffassung, da entsprechende zweckbezogene Einwilligungserklärungen der Richterschaft vorlägen.
Gegen das Urteil kann vor dem Oberverwaltungsgericht Berlin-Brandenburg Berufung eingelegt werden.
9. November 2021
Ein Mieter kann auch gegen einen privaten Vermieter einen Anspruch auf Auskunftserteilung gem. Art. 15 DSGVO haben. Die Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO greift in diesen Fällen nicht. Dies entschied das Landgericht Wiesbaden mit Urteil vom 30.09.2021, Az. 3 S 50/21 und bestätigte damit die Entscheidung des Amtsgerichts Wiesbaden vom 26.04.2021.
Sachverhalt
Der Kläger war Mieter einer Wohnung, die im Eigentum der Beklagten (Vermieterin) steht. Im Rahmen des Mietverhältnisses kommunizierte der Ehemann der beklagten Vermieterin mit dem Mieter über verschiedene mietrechtliche Angelegenheiten wie z.B. der Anbringung von Rauchwarnmeldern per WhatsApp. Zudem beauftragte die Vermieterin eine GmbH mit der Erstellung einer Betriebskostenabrechnung, die den Mieter schließlich zu einer Nachzahlung von über 700 EUR aufforderte.
Im Verlauf des Mietverhältnisses kam es zu einem Räumungsrechtsstreit. In diesem forderte der hiesige Kläger die Beklagte dazu auf, ihm eine umfassende Auskunft über seine personenbezogenen Daten gem. Art. 15 DSGVO zu erteilen. Seinen Auskunftsanspruch begründete er damit, dass durch die Speicherung seiner Telefonnummer und seines Namens auf dem Mobiltelefon des Ehemanns der Beklagten eine automatisierte Verarbeitung gem. Art. 2 Abs. 1 DSGVO seiner personenbezogener Daten vorliege. Auch die Speicherung seiner Daten für die Erstellung der Betriebskostenabrechnung in dem System der beauftragten GmbH stelle eine Verarbeitungstätigkeit dar, für die die Beklagte als Vermieterin im Sinne der DSGVO verantwortlich sei.
Dies lehnte die Beklagte u.a. mit der Begründung ab, dass es sich bei ihr nicht um eine konstitutionelle Vermieterin handle. Insbesondere speichere sie keine Daten ihrer Mieter ab, sondern hefte die Mietverträge als private Vermieterin lediglich ab. Die DSGVO sei aus diesen Gründen nicht auf sie anwendbar.
Die Entscheidung
Das AG Wiesbaden verurteilte die Vermieterin zur Erteilung einer vollständigen Datenauskunft gegenüber ihrem Mieter gem. Art. 15 DSGVO. Diese Entscheidung wurde durch das LG Wiesbaden bestätigt.
Im Einzelnen führte das Gericht aus, dass der Anwendungsbereich der DSGVO eröffnet sei. Die Speicherung des Namens und der Telefonnummer des Mieters auf dem Mobiltelefon stelle eine Verarbeitung personenbezogener Daten gem. Art. 4 Nr. 2 DSGVO dar. Außerdem, so das Gericht, liege in der Übermittlung an die GmbH zur Betriebskostenerstellung eine Auftragsverarbeitung gem. Art. 28 DSGVO vor, wonach die Vermieterin als Verantwortliche gem. Art. 4 Nr. 7 DSGVO auftrete und somit sie und nicht die GmbH zur Auskunftserteilung verpflichtet sei.
Insbesondere verneinte das Gericht das Vorliegen der sog. Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO. Danach findet die DSGVO dann keine Anwendung, wenn die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten stattfindet. Gerade diese persönliche Tätigkeit verneinte das LG jedoch. Einerseits deshalb, weil die Vermieterin nicht nur eine Wohnung privat vermietete, sondern mehrere. Andererseits aber auch, weil sie mit der Erstellung der Betriebskostenabrechnung eine Firma beauftragte, bei der sodann eine EDV-gestützte Verarbeitung stattfand. Diese Firma sei im Auftrag der Vermieterin und daher als Auftragsverarbeiterin gem. Art. 4 Nr. 8 DSGVO, Art. 28 DSGVO tätig geworden, so dass die Vermieterin als Verantwortliche im datenschutzrechtlichen Sinne handelte. Daraus, so das Gericht, ergebe sich bereits eindeutig, dass die beklagte Vermieterin nicht lediglich Privatdaten verarbeite, sondern diese entsprechend weiter gibt. Schließlich habe die Beklagte die Kontaktdaten des Mieters auch ihrem Ehemann zur Verfügung gestellt, damit dieser mit dem Mieter Kontakt aufnehmen konnte. Darin sah das Gericht ebenfalls eine Datenverarbeitung.
Fazit
Auffällig ist, dass der Auskunftsanspruch aus Art. 15 DSGVO in unterschiedlichen Konstellation immer wieder Gegenstand von Gerichtsentscheidungen ist.
Besonders an diesem Urteil ist zudem die restriktive, aber konsequente Auslegung der Haushaltsausnahme. Auch wenn die DSGVO in den Hauptanwendungsfällen vordergründig Unternehmen bzw. juristische Personen verpflichtet, so macht dieses Urteil noch einmal deutlich, dass auch Privatpersonen Verantwortliche im Sinne der DSGVO sein können. Dies insbesondere dann, wenn sie sich nicht mehr auf die Privilegierung der Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO berufen können, etwa weil die Verarbeitungstätigkeit zumindest auch dem geschäftlichen Bereich zugeordnet werden kann, so wie vorliegend.
Damit kann das Urteil auch auf viele andere, vermeintlich private Tätigkeiten übertragbar sein, die in tatsächlicher Hinsicht zumindest auch geschäftlicher Natur sind.