Betroffene haben umfangreichen Auskunftsanspruch gemäß der DSGVO

Versicherungsnehmer stellt mehrfach Antrag auf Auskunft

Nachdem der Kläger 1997 einen Vertrag über eine Lebensversicherung mit der Beklagten abgeschlossen hatte, widersprach er 2016 mit der Begründung, dass dieser Vertrag gar nicht Zustandekommen sei. Die Beklagte, ein Versicherungsunternehmen, wies den Widerspruch zurück. Daraufhin verlangte der Kläger Auskunft über die von der Versicherung verarbeiteten Daten auf Grundlage des zu dem Zeitpunkt einschlägigen Bundesdatenschutzgesetzes (BDSG). Seit 2018 ist die Datenschutzgrundverordnung (DSGVO) in Kraft und der Auskunftsanspruch stützt sich nunmehr auf Art. 15 DSGVO. Die von der Beklagten erteilten Auskünfte, bewertete der Kläger als unvollständig, sodass er sein Begehren im Klageweg verfolgte. Die Klage hatte vor dem Amtsgericht Brühl und in zweiter Instanz vor dem Landgericht Köln (Urteil vom 19.06.2019, Az. 26 S 13/18) keinen Erfolg.

Umfang des Auskunftsanspruchs gerichtlich nicht geklärt

Betroffene können gemäß Art. 15 DSGVO in drei Stufen ihren Auskunftsanspruch geltend machen. Sie können zunächst anfordern, dass die Verantwortlichen bestätigen, ob personenbezogene Daten des Betroffenen verarbeitet werden. Ist dies der Fall, haben Betroffene einen Anspruch auf Auskunft über die verarbeiteten Daten und können darüber hinaus eine Kopie der Daten verlangen. Welchen Umfang dieser Anspruch konkret jedoch hat, wurde bislang gerichtlich nicht entschieden. Während Betroffene, also Verbraucher oder Arbeitnehmer und deren Vertreter, in der Regel ein Interesse an einem möglichst ausführlichem Bericht haben, konfrontiert dies die Personen, die Daten verarbeiten, mit einem erhöhten Arbeitsaufwand. Zudem befürchten Verantwortliche im Sinne der DSGVO, dass der Auskunftsanspruch auch aus prozesstaktischen Gründen zur Verzögerung eines Verfahrens genutzt werden könnte.

BGH definiert Begriff des "personenbezogenen Datums"

Was "personenbezogene Daten" sind, definiert Art. 4 Nr. 1 Halbsatz 1 DSGVO als

"alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen".

Der BGH legt diese Definition in seinem Urteil vom 15.06.2021 weit aus und erklärt, dass personenbezogene Daten nicht nur sensible oder gar besonders persönliche Angaben sind. Dies begründet das Gericht unter anderem mit der Rechtsprechung des Europäischen Gerichtshofs (EuGH) sowie mit dem Erwägungsgrund 63 der DSGVO, wonach der Zweck des datenschutzrechtlichen Auskunftsanspruchs darin liege, dass Betroffene über die Verarbeitung ihrer Daten ein Bewusstsein entwickeln, um auf Grundlage dessen die Rechtmäßigkeit der Verarbeitung prüfen zu können. Eine konservative Auslegung nach der personenbezogene Daten ausschließlich "signifikante biografische Informationen" sein könnten, lehnt der BGH ausdrücklich ab.

Auskunftsanspruch umfasst Interna

Ferner führte der BGH aus, dass nach seiner Auffassung auch Schriftstücke, die Betroffene und Verantwortliche im Sinne der DSGVO versendet haben als "personenbezogene Daten" zu klassifizieren sind. Obwohl Betroffenen die Inhalte dieser Schreiben bekannt sein dürften, müsse dies nicht zwangsläufig bedeuten, dass diese Korrespondenz durch die Verantwortlichen noch immer verarbeitet werden, weshalb die Erstreckung des Auskunftsanspruchs auf diese Angaben gerechtfertigt sei, so der BGH. Zumal der Anspruch nach Art. 15 DSGVO ohnehin mehrfach verfolgt werden könne, erklärte das Gericht. Dies umfasst nach Auslegung des BGH auch interne Vermerke und Kommunikation der Verantwortlichen, soweit diese keine rechtliche Einschätzung enthalten würden. Die Tatsachen auf denen eine solche rechtliche Wertung aber erfolge, seien personenbezogene Daten und demnach vom Anspruch umfasst. 

Der BGH gewährt damit Betroffenen einen umfangreichen Anspruch auf Erteilung von Auskünften. Der Begriff des "personenbezogenen Datums" begrenzt den Anspruch in ausschließlich geringem Umfang. Eine Einschränkung des Anspruchs ist demnach auf zweierlei Wegen denkbar: Verantwortliche können die Ausgabe einer Kopie der verarbeiteten Daten dann verneinen, wenn gemäß Art. 15 Abs. 4 DSGVO die Rechte Dritter beeinträchtigt werden. Gemäß Art. 12 Abs. 5 können Verantwortliche zudem entweder ein Entgelt verlangen oder die Auskunft verweigern, soweit der Betroffene offenkundig unbegründete exzessive Anträge aus Auskunft stellt.