Der genaue Inhalt des Auskunftsanspruchs aus Art. 15 DSGVO ist seit Bekanntgabe der DSGVO umstritten. Nach dieser Norm hat jede Person Anspruch auf eine Auskunft darüber, welche personenbezogenen Daten von ihr in einem Unternehmen oder einer Behörde verarbeitet werden. In zwei sehr praxisrelevanten Urteilen haben das Bundesarbeitsgericht und der Bundesgerichtshof den Anspruch nunmehr konturiert. Inzwischen liegen auch die Entscheidungsgründe zu beiden Urteilen vor, so dass bekannt ist, was genau die Gerichte ausgeführt haben. Zu klären war von den Gerichten, ob bei einem Auskunftsverlangen alle in einem Unternehmen vorhandenen Daten, das heißt jede E-Mail, jede irgendwo abgespeicherte Notiz und jede Information über eine Person, herausgesucht und kopiert werden müssen. Nach dem Urteil des Bundesgerichtshofs ist dies der Fall. In längeren vertraglichen Beziehungen können Auskunftsverlangen dadurch enorme Aufwände verursachen. Das Bundesarbeitsgericht hat klargestellt, dass ein derartiger Anspruch sehr genau geltend gemacht werden muss, um durchzugreifen.
Bereits im „Zu guter Letzt“ unseres Newsletters vom Mai dieses Jahres berichteten wir von einem Urteil des Bundesarbeitsgerichts (BAG) vom 27. April 2021 – Az.: 2 AZR 342/20 – zum Umfang des Auskunftsanspruchs aus Art. 15 DSGVO. Der Kläger war als Wirtschaftsjurist bei der Beklagten beschäftigt und begehrte Auskunft über seine von der Beklagten verarbeiteten personenbezogenen Daten und Überlassung einer Kopie derselben. Insbesondere wollte der Kläger eine Kopie aller beim Arbeitgeber vorhandenen E-Mails, in denen personenbezogene Daten von ihm enthalten waren.
Das BAG umging im Ergebnis die Beantwortung der Frage, ob auch die Übermittlung von Kopien des E-Mail-Verkehrs des Klägers und aller E-Mails, die ihn namentlich erwähnen, vom Auskunftsanspruch nach Art. 15 DSGVO umfasst ist. Jedenfalls könne ein solcher Anspruch nicht pauschal auf Auskunft über „alle vorhandenen E-Mails“ gestellt werden. Vielmehr müsse der Kläger die E-Mails, auf die er sich beziehe, genau bezeichnen.
Der Bundesgerichtshof (BGH) konnte dagegen dank präziserem Antrag auch in der Sache urteilen: Das Gericht entschied in einem Urteil vom 15. Juni 2021 – Az.: VI ZR 576/19 -, dass der Anspruch nach Art. 15 DSGVO alle personenbezogenen und personenbeziehbaren Informationen umfasse, die in einem Unternehmen zu einer Person vorhanden sind. Davon sei auch interne Korrespondenz mit und über den Betroffenen einschließlich der ausgetauschten E-Mails erfasst. Ob die Informationen dem Kläger bereits bekannt sind, sei nicht erheblich. Zweck des Auskunftsanspruchs sei es, den Betroffenen in die Lage zu versetzen, sich zu vergewissern, dass ihn betreffende Daten richtig sind und in zulässiger Weise verarbeitet werden. Anders, als vor dem BAG, ging es hier nicht um einen Arbeitnehmer und seinen Arbeitgeber. Ein Versicherungsnehmer hatte gegenüber der Versicherung Auskunft verlangt.
Das Urteil des BGH dürfte erhebliche Praxisfolgen haben. Schon jetzt nutzen etwa Prüflinge den Auskunftsanspruch aus Art. 15 DSGVO, um eine (unentgeltliche) Kopie ihrer Arbeiten nebst Votum der Prüfer zu erhalten. Max Schrems, der derzeit zum dritten Mal ein umfangreiches Gerichtsverfahren gegen Facebook führt, erhielt unlängst eine Auskunft des Konzerns auf über 1.000 (!) Seiten über von ihm verarbeitete Daten. Auskunftsverlangen in dieser Größenordnung könnten in Zukunft die Regel werden und enorme Ressourcen von Unternehmen binden, da die zu übergebenen Daten im Fall von E-Mails stets auch darauf geprüft werden müssen, ob Geschäftsgeheimnisse oder sonstige vertrauliche Informationen enthalten sind. Nach der DSGVO haben Unternehmen i.d.R. einen Monat Zeit, um Auskunftsverlangen zu beantworten. Die Informationen müssen außerdem kostenlos zur Verfügung gestellt werden. Verweigert werden dürfen Auskunftsersuchen nach Art. 15 DSGVO nur, liegen entsprechende Informationen vor, bei offenkundig unbegründeten oder exzessiven Anträgen, Art. 12 Abs. 5 DSGVO. Diese Ausnahmen werden bislang eng ausgelegt.
Damit birgt der Anspruch auf Datenauskunft in seiner neuen Ausgestaltung enormes Druck- und Konfliktpotential, auch, um die eigene Position in anderweitigen Auseinandersetzungen zu verbessern. Abzuwarten bleibt daher, unter welchen Umständen die Gerichte Auskunftsverlangen nach Art. 15 DSGVO als rechtsmissbräuchlich einordnen oder dem Anspruch, etwa durch einen Unzumutbarkeitseinwand, Grenzen setzen.