- +49 681 94005430
- kanzlei@dury.de
- Montag - Freitag 08:00 - 17:00
Auskunftsanspruch: Wie sieht eine ordnungsgemäße DSGVO Auskunftserteilung aus
Der Auskunftsanspruch gemäß Art. 15 DSGVO ist das bedeutsamste Betroffenenrecht der Datenschutzgrundverordnung. Erst die Auskunft ermöglicht es dem Einzelnen, weitere Betroffenenrechte geltend zu machen. Viele Fragen zum Umfang sowie der Art und Weise der Auskunftserteilung sind rechtlich noch nicht abschließend geklärt, sodass die Erfüllung eines Auskunftsverlangens kompliziert sein kann.
Insbesondere Arbeitnehmer berufen sich zunehmend auf Ihren datenschutzrechtlichen Auskunftsanspruch. Im Rahmen von Kündigungsschutzklagen werden Auskunftsansprüche fast standardmäßig geltend gemacht. Bei einer Verletzung dieses Betroffenenrechts – zum Beispiel durch unterlassene oder verspätete Auskünfte –sprachen Gerichte bereits Verurteilungen zu Entschädigungszahlungen im vierstelligen Bereich aus. Grund genug, Auskünfte ordnungsgemäß zu erteilen.
Erfahren Sie in diesem Blogbeitrag auf was Sie bei einer DSGVO Auskunftserteilung beachten sollten und welche Konsequenzen eine nicht ordnungsgemäße Auskunft mit sich bringt.
Welchen Inhalt hat der Auskunftsanspruch?
Der Auskunftsanspruch gemäß Art. 15 DSGVO gibt der betroffenen Person gegenüber dem Verantwortlichen ein Recht zur Auskunft. Der Verantwortliche muss die betroffene Person darüber informieren, ob und ggf. welche personenbezogenen Daten er von ihr verarbeitet. Wer Auskunftsansprüche geltend machen will, muss kein berechtigtes Interesse nachweisen, sondern kann sein Recht ohne Angabe von Gründen ausüben. Die betroffene Person kann insbesondere Angaben zu den Verarbeitungszwecken, den Kategorien der verarbeiteten personenbezogenen Daten, deren Empfängern und zur Speicherdauer der Daten verlangen und ist über ihre Betroffenenrechte aufzuklären (Art. 15 Abs. 1 DSGVO).
Daneben ist der Verantwortliche verpflichtet, eine Kopie der verarbeiteten Daten zur Verfügung zu stellen (Art. 15 Abs. 3 S. 1 DSGVO).
Diese Pflichten muss der Verantwortliche unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags erfüllen (Art. 12 Abs. 3 S. 1 DSGVO). Die Frist kann um weitere zwei Monate verlängert werden, aber nur in Fällen, die es ihrer Komplexität und der Anzahl von Anträgen wegen erfordern (Art. 12 Abs. 3 S. 2 DSGVO). Wichtig im Falle der Verlängerung ist, dass der Auskunftgeber auf die Verlängerung und die damit verbundenen Gründe hinweisen muss.
Was sagt die Rechtsprechung?
Die Reichweite und der Inhalt des Auskunftsanspruchs sind rechtlich noch nicht abschließend geklärt. Daher sind die an dieser Stelle genannten Entscheidungen nur beispielhaft als Auszug aus der vorhandenen Rechtsprechung zu verstehen.
Gemäß Artikel 15 Abs. 1 DSGVO sind personenbezogene Daten Gegenstand des Auskunftsanspruchs. In der Rechtssache C 487/21 (Urteil vom 04.05.2023) entschied der EuGH , dass der Begriff „personenbezogene Daten“ weit auszulegen ist. Der Begriff umfasst nicht nur die ursprünglich erhobenen Daten, sondern auch alle Informationen, die erst aus der Verarbeitung dieser Daten gewonnen werden, also z.B. die Beurteilung der Zahlungsfähigkeit oder Zahlungswilligkeit einer Person.
In Bezug auf den Umfang der zur Verfügung zu stellenden Daten entschied der BGH (Urteil vom 27.09.2023. Az. IV ZR 177/22, Pressemitteilung), dass damit nur die Daten gemeint sind, für die der Verantwortliche gemäß Art. 15 Abs. 1 DSGVO zur Auskunft verpflichtet ist. Die Kopie ist in demselben Umfang wie die Auskunft zu erteilen. Es ergibt sich aus Art. 15 Abs. 3 DSGVO aber kein genereller Anspruch auf Herausgabe von Kopien bestimmter Dokumente, bei denen es sich nicht um personenbezogene Daten der betroffenen Person handelt. Der grundsätzlich weit auszulegende datenschutzrechtliche Auskunftsanspruch soll nicht vorgeschoben werden dürfen, um an andere Informationen zu gelangen, die die betroffene Person nicht als Subjekt der Datenverarbeitung betreffen. In einem zuvor entschiedenen Rechtsstreit (Urt. V. 15.06.2021, Az. VI ZR 576/19) bejahte der BGH den Auskunftsanspruch auch für interne Vermerke personenbezogener Daten und dem Betroffenen bereits bekannte Daten. Das Landesarbeitsgericht Niedersachsen entschied hingegen , dass es bei Daten, die dem Anspruchsteller bekannt sind, nach dem Schutzzweck keinen Anlass gibt, diese zur Verfügung zu stellen.
Der genaue Umfang des Auskunftsrechts und des Rechts auf Kopie der Daten wird unserer Auffassung nach weiterhin Gegenstand zahlreicher gerichtlicher Verhandlungen sein.
Welche Fehler bei der Auskunftserteilung verletzen das Auskunftsrecht?
Erfolgt die Erteilung der Auskunft gar nicht, nicht rechtzeitig oder unvollständig, ist das Auskunftsrecht des Betroffen verletzt. Die Auskunft ist z.B. unvollständig, wenn sie nicht alle rechtlich erforderlichen Informationen enthält oder bei einer Drittlandübermittlung keine Auskunft über die geeigneten Garantien enthält.
Die Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, kann ebenfalls unvollständig zur Verfügung gestellt werden, wobei der Umfang der Kopie – wie oben erläutert – weiterer gerichtlicher Klärung bedarf. Die Auskunft kann zudem Rechte Dritter beeinträchtigen oder unverständlich geschrieben sein und deshalb den Dritten, oder den Betroffenen in seinem Recht verletzen.
Verspätete Auskunftserteilung
In der Praxis ist insbesondere auch eine nicht fristgerechte Auskunftserteilung relevant. Wichtig ist: die oben genannte Monatsfrist ist j als Höchstfrist zu verstehen. So kann auch eine Auskunft, die innerhalb von 19 Tagen nach Eingang des Auskunftsantrags erteilt wurde verspätet sein (vgl. Arbeitsgerichts Duisburg , Urteil vom 03.11.2023 – Az. 5 Ca 877/23). Als Begründung führt das Arbeitsgericht an, dass die „Höchstfrist […] nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden“ soll.
Im Hinblick auf die Auslegung des Begriffs „unverzüglich“ bezieht sich das Gericht auf ein Urteil des Bundesarbeitsgerichts (Urteil v. 27.2.2020 — 2 AZR 390/19) und erklärt: „Nach einer Zeitspanne von mehr als einer Woche ist […] ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben“ (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19).
Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, sah das Gericht im zu entscheidenden Fall nicht. Der Verantwortliche hatte nämlich gar keine Daten mehr gespeichert. Es war lediglich ein einfacher Suchvorgang durchzuführen und der Antragsteller über den negativen Befund zu unterrichten. Für das Gericht waren keine Anhaltspunkte ersichtlich, weshalb für den bloßen Suchvorgang mehr als eine Woche benötigt wurde.
Das Urteil stellt die Ausschöpfung der Monatsfrist unter strenge Voraussetzungen. Wenn die Monatsfrist komplexen Auskunftsanträgen vorbehalten sein soll, fragt sich, welcher Spielraum noch für die Fristverlängerung um zwei weitere Monate bleibt.
Inwiefern das Urteil des Arbeitsgerichts wegweisend ist, kann noch nicht beurteilt werden. Nach Ansicht des Arbeitsgerichtes ist es wichtig „eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht“.
Was droht bei Verletzung des Auskunftsrechts?
Bei Verletzung der Auskunftspflicht, d.h. bei unterbliebener, nicht rechtzeitiger oder nicht vollständiger Erteilung der Auskunft, kann die Aufsichtsbehörde ein Bußgeld verhängen. Die Höhe des Bußgelds kann bis zu 20 Millionen Euro bzw. 4% des weltweiten Jahresumsatzes betragen (Art. 83 Abs. 2 i.V.m. 5 lit. b DSGVO).
Infolge der Verletzung des Auskunftsanspruchs kann außerdem ein immaterieller Schaden entstehen, der einen Schadensersatzanspruch auslöst (Art. 82 Abs. 1 DSGVO).
Deutsche Arbeitsgerichte haben wegen nicht fristgerechter oder fehlerhafter Bearbeitung von Auskunftsansprüchen in der Vergangenheit mehrfach vierstellige Schadensersatzzahlungen zugesprochen. Dabei wurde der Begriff des immateriellen Schadens weit verstanden. Ein Schaden kann z.B. auch einen Kontrollverlust der betroffenen Person über ihre Daten liegen, der zu psychischer Belastung führt (vgl. OLG Köln, Urteil v. 14.07.2022 - Az. 15 U 137/21). Diese Ansicht stützt sich u.a. auf Erwägungsgrund 146 zur DSGVO, dessen Satz 3 wie folgt lautet:
„Der Begriff des Schadens sollte im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht.“
Es wurde angenommen, dass bereits die Verletzung der DSGVO an sich zu einem auszugleichenden immateriellen Schaden führt (etwa Arbeitsgericht Oldenburg, Urteil vom 09.02.2023 - Az. 3 Ca 150/21; LAG Hamm, Urteil vom 14.12.2021 - 17 Sa 1185/20).
Das Landesarbeitsgericht (LAG) Nürnberg (Urteil vom 25.01.2023 - Az. 4 Sa 201 22) und das Landesarbeitsgericht Düsseldorf (Urteil vom 28.11.2023 - Az. 3 Sa 285/23) hingegen legen Art. 82 Abs. 1 DSGVO einschränkend aus. Diese Auffassung begründet ihre Ansicht ebenfalls mit dem Erwägungsgrund 146. Dessen Einleitungssatz lautet:
„Der Verantwortliche oder der Auftragsverarbeiter sollte Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht, ersetzen.“
Der Schadensersatzanspruch sei auf Verstöße in Form einer rechtswidrigen Datenverarbeitung i.S.v. Art. 4 Nr. 2 DSGVO begrenzt. Verspätete, falsche oder gar gänzlich unterbliebene Auskünfte seien daher nicht haftungsauslösend. Ein Verstoß gegen Art. 15 DSGVO soll folglich nicht in den Anwendungsbereich von Art. 82 DSGVO fallen.
Fraglich ist, ob der EuGH einer derart einschränkenden Auffassung des Art. 82 Abs. 1 DSGVO folgen würde. Der Auskunftsanspruch ist von zentraler Bedeutung für den Betroffenen. Die Auskunft ermöglicht es, dem Einzelnen erst nachzuvollziehen, welche personenbezogenen Daten über ihn verarbeitet werden. Ohne dieses Wissen kann der Betroffene nicht feststellen, ob Daten rechtmäßig verarbeitet werden oder seine anderen Betroffenenrechte geltend machen.
Wann kann eine Entschädigung für die Verletzung des Auskunftsrechts verlangt werden?
Da andere Gerichte einen Anspruch auf Schadensersatz bei Verletzung des Auskunftsrechts weiterhin bejahen, stellt sich die Frage, unter welchen Voraussetzungen eine Entschädigungszahlung für die Verletzung zugesprochen wird.
Ohne Schaden kein Schadensersatz
Laut einem Urteil des EuGH (Urteil vom 04.05.2023, Az. C-300/21) ist zumindest klar: Die bloße Verletzung datenschutzrechtlicher Vorschriften genügt nicht, um einen immateriellen Schadensersatz zu verlangen. Es muss ein konkreter Schaden durch den Verstoß gegen die DSGVO entstanden sein, das geht nach Ansicht des EuGH bereits aus dem Wortlaut des Art. 82 Abs. 1 DSGVO hervor. Allerdings muss dieser Schaden keinen bestimmten Grad der Erheblichkeit erreichen. Es widerspräche dem vom Unionsgesetzgeber gewählten weiten Verständnis des Begriffs "Schaden", wenn dieser Begriff auf Schäden mit einer gewissen Erheblichkeit beschränkt wäre, so der EuGH.
Der Generalanwalt Manuel Campos Sánchez-Bordona führte zuvor in seinen Schlussanträgen vom 6. Oktober 2022 aus, dass der „in der Verordnung 2016/679 geregelte Ersatz immaterieller Schäden […] sich nicht auf bloßen Ärger erstreckt, zu dem die Verletzung ihrer Vorschriften bei der betroffenen Person geführt haben mag. Es ist Sache der nationalen Gerichte, herauszuarbeiten, wann das subjektive Unmutsgefühl aufgrund seiner Merkmale im Einzelfall als immaterieller Schaden angesehen werden kann.“
Damit sind Entschädigungszahlungen künftig davon abhängig, dass der Betroffene einen Schaden darlegt. Ob subjektiv empfundener Unmut oder Ärger wegen Ungewissheit über Verarbeitungsumstände einen Schaden konstituiert, bleibt offen für gerichtliche Klärung.
Fazit
Bei der Erfüllung datenschutzrechtlicher Auskunftsansprüche sind nicht wenige Hürden zu nehmen. Inhalt und Reichweite des Anspruchs werden auch in Zukunft die Gerichte beschäftigen. Aufgrund der hohen Bedeutung der Auskunft als Betroffenenrecht ist mit weiteren Urteilen zu rechnen, die dem Betroffenen Entschädigungszahlungen wegen verspäteten oder unvollständigen Auskünften zusprechen.
Oftmals sind es aus dem Unternehmen scheidende Mitarbeiter, die Auskunftsanträge stellen. Dies ist fast schon standardmäßiges Vorgehen und womöglich auch deshalb attraktiv, da der Antrag keiner Begründung bedarf. Eine rechtsmissbräuchliche Ausübung des Auskunftsrechts wird nur in eindeutigen Fällen anzunehmen sein. Das Recht auf Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung durch den Verantwortlichen sind, ist beispielsweise nicht dadurch verwirkt, dass der Antrag zu anderen Zwecken, als zur Überprüfung der Rechtmäßigkeit der Verarbeitung gestellt wird (EuGH, Urteil vom 26.10.2023 - C 307/22, Randnr. 52).
Aufgrund der strengen Auslegungen einzelner Gerichte können wir nur dazu raten auf Betroffenenanfragen zeitnah zu reagieren. Dies gilt vor allem auch dann, wenn Sie gar keine Daten über eine Person gespeichert haben. Generell sollte ein funktionierender Prozess aufgebaut werden, wie mit den Anfragen betroffener Personen umgegangen werden soll.
Denken Sie jedoch auch daran, dass Sie ausreichende technische und organisatorische Maßnahmen treffen müssen um sicherzustellen, dass die Person, die eine Auskunft verlangt auch tatsächlich die Person ist, über die Sie Auskunft begehrt.
Autor: Diplomjurist Benjamin Schmidt - Leiter Team Onlinerecht
Co-Autor: Wissenschaftliche Mitarbeiterin - stud. jur. Caroline Weis
