14. Juli 2021
Hintergrund
Nach wie vor viel diskutiert wird der Umfang des datenschutzrechtlichen Auskunftsanspruchs nach Art. 15 der Europäischen Datenschutzgrundverordnung (DSGVO).
In der bisherigen Rechtsprechung zum Thema ist die Tendenz erkennbar, dass die Gerichte den Auskunftsanspruchs weit und damit betroffenenfreundlich auslegen und der tatbestandlichen Begrenzung des Anspruchs zum Beispiel auf die bloße Nennung verarbeiteter Datenkategorien eine Absage erteilen – wir vor allem die Entscheidung des OLG Köln (Urteil vom 26.07.2019, Az. 20 U 75/18) wonach selbst Telefonnotizen personenbezogen Daten darstellen, die vom Auskunftsanspruch umfasst sind.
Urteil
Nun hat sich der Bundesgerichtshof mit der Frage befasst (Urteil vom 15.06.2021, Az. VI ZR 576/19). Mit eindeutigem Ergebnis: Auch nach Ansicht der Bundesrichter ist der Auskunftsanspruch nach Art. 15 DSGVO sehr weit zu verstehen und umfasst nicht nur sensible oder private Informationen über den Auskunftsersuchenden, sondern alle Arten von Informationen subjektiver und objektiver Natur, zu denen auch Stellungnahmen und Beurteilungen gehören, soweit diese aufgrund ihres Inhalts, Zwecks oder ihrer Auswirkungen mit einer Person verknüpft sind. Dazu zählt der BGH insbesondere auch zurückliegende Korrespondenz zwischen dem Verantwortlichen und dem Auskunftsersuchenden (selbst wenn diese dem Auskunftsersuchenden bekannt ist und die Korrespondenz vom Verantwortlichen ausgegangen ist) sowie interne Vermerke. Der BGH stellt auch klar, dass eine wiederholte Auskunft verlangt werden kann.
Konsequenzen
Mit dem Urteil des BGH dürfte sich die herrschende Auffassung, dass der Anspruch nach Art. 15 DSGVO einer teleologischen, tatbestandlichen Beschränkung nicht zugänglich ist, auch in den Instanzgerichten durchsetzen. Das bedeutet auch, dass Unternehmen, die Beschäftigten, Kunden oder anderen Auskunftsersuchenden keine vollständige Wiedergabe der verarbeiteten Daten leisten können oder wollen, weitergehenden zivilrechtlichen Ansprüchen ausgesetzt sehen werden.
Für Betroffene ist damit klar, dass diese sich nicht mit einer lückenhaften, unvollständigen oder unklaren Auskunft zufriedengeben müssen, sondern mit geringem Prozessrisiko auf Erfüllung ihres Anspruchs klagen können.
Auch die Aufsichtsbehörden dürften sich bestätigt sehen, gegen Verantwortliche, die Betroffenenrechte nicht vollumfänglich umsetzen, einen harten Sanktionskurs zu fahren. Für eine unzureichende Umsetzung des Auskunftsanspruchs sieht die DSGVO Bußgelder in der Maximalhöhe von 20 Millionen Euro oder vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor.
Unabdingbar ist also, das Verantwortliche ihr Datenschutzmanagement evaluieren, um sicherzustellen, ob das Recht auf Auskunftserteilung (und übrigen Betroffenenrechte) vollständig umgesetzt werden kann. Hier bieten sich auch Stresstests durch von der Geschäftsleitung fingierte Auskünfte an.
