Neues zum Auskunftsrecht – Bedeutung für die Praxis

Das datenschutzrechtliche Auskunftsrecht ist eines der wichtigsten Betroffenenrechte in der DSGVO. Es wird häufig geltend gemacht und immer wieder diskutiert. Der Bundesgerichtshof (BGH) legte in neuen Entscheidungen Anforderungen an die Bestimmtheit eines Auskunftsantrags fest. Außerdem äußerte er sich zum Umfang herauszugebender Kopien. Für die Praxis sind dies wichtige Entscheidungen, um im Einzelfall rechtssicher durch die Bearbeitung von Auskunftsersuchen zu navigieren.

Wieder einmal war der datenschutzrechtliche Anspruch auf Auskunft und Kopie Gegenstand von höchstrichterlichen Entscheidungen. In mehreren BGH-Urteilen wurden die Voraussetzungen und Grenzen des Art. 15 DSGVO jetzt weiter konkretisiert. Das ist auch notwendig, denn diese Rechte werden immer häufiger geltend gemacht, doch es besteht nach wie vor keine abschließende Klarheit über Anforderungen und Umfang.

Zur Bestimmtheit des Auskunftsantrags

Wer einen Auskunftsanspruch gem. Art. 15 DSGVO klageweise geltend machen will, muss zunächst einen entsprechenden Klageantrag stellen, der bestimmt genug ist. Mit der Frage, wann diese Bestimmtheit gegeben ist, beschäftigte der BGH sich in seinem Urteil vom 05.03.2024 (Rs. VI ZR 330/21). Die Klägerin verlangte die Herausgabe von Kopien aller personenbezogenen Daten, die sich im Besitz der Beklagten, einer Finanzberaterin, befanden. Insbesondere wollte sie Telefonnotizen, Aktenvermerke, Gesprächsprotokolle, E-Mails, Briefe und Zeichnungsunterlagen für Kapitalanlagen aus der Zeit der Geschäftsbeziehung erhalten.

Der BGH stellte in diesem Verfahren zunächst klar, dass ein Klageantrag grundsätzlich bestimmt genug ist, wenn der geltend gemachte Anspruch konkret bezeichnet ist. Wie konkret die Bezeichnung sein muss, hängt wiederum von den Umständen des Einzelfalls und von einer Abwägung der gegenüberstehenden Interessen des Beklagten (Rechtsklarheit und Verteidigungsmöglichkeit) und des Klägers (wirksamer Rechtsschutz) ab. Bei einem Antrag auf Herausgabe von Kopien personenbezogener Daten nach Art. 15 Abs. 3 DSGVO ist der Antrag nach Ansicht des BGH bestimmt genug, wenn „sämtliche Dokumente, welche sich im Besitz [der Beklagten] befänden“ verlangt werden. Der Kläger muss dabei nicht konkretisieren, welche Daten und Dokumente er genau verlangt. Das ist meist überhaupt nicht möglich und zudem ist es gerade das Ziel des Klägers, die ihn betreffenden personenbezogenen Daten vollständig in Erfahrung zu bringen. Es reicht somit aus, lediglich die gewünschten Kategorien von Dokumenten oder Daten, die Informationen über den Kläger enthalten, zu beantragen (BGH Urt. v. 05.03.2024 – VI ZR 330/21 Rn. 11).

Zum Umfang von Auskunfts- und Kopierecht nach Art. 15 Abs. 1 und 3 DSGVO

Der Verantwortliche hat zum einen Auskunft darüber zu erteilen, ob überhaupt personenbezogene Daten des Antragstellers bei ihm verarbeitet werden (oder nicht). Werden Daten verarbeitet, hat die betroffene Person das Recht auf Auskunft darüber, welche Daten verarbeitet werden sowie über weitere Informationen, wie Verarbeitungszwecke, Kategorien und Empfänger der jeweiligen personenbezogenen Daten oder die Dauer einer etwaigen Datenspeicherung.

Mit dem Auskunftsrecht einher geht das Recht der betroffenen Person auf Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Das Kopierecht gewährt dabei kein anderes Recht als das Auskunftsrecht aus Abs. 1, sondern stellt letztlich eine Ergänzung dar: Die Auskünfte, die nach Abs. 1 geschuldet sind, sind der betroffenen Person in Form von Kopien zur Verfügung zu stellen (EuGH Urt. v. 04.05.2023 – C-487/21). Über den genauen Umfang dieses Kopierechtes wurde schon vielfach diskutiert (wir berichteten hier und hier) und auch die neuesten BGH-Urteile behandeln diese Thematik.

Grundsätzlich bezieht sich das Auskunfts- und damit auch das Kopierecht ausschließlich auf die personenbezogenen Daten, die Gegenstand der Verarbeitung beim Verantwortlichen sind, und nicht auf ganze Dokumente. Die Auskunft muss aber insofern vollständig erteilt werden und alle verarbeiteten Daten mit Bezug zur betroffenen Person beinhalten, als dies für die Überprüfung der Richtigkeit der Auskunft nach Art. 15 Abs. 1 DSGVO und die Nachvollziehbarkeit notwendig ist. Was dies konkret in jedem Einzelfall bedeutet, ist allerdings nach wie vor diskutabel.

In zwei Fällen, die es bis zum BGH schafften, forderten Versicherungsnehmer die Herausgabe von Kopien von ganzen Schreiben und Erklärungen, die im Laufe der vertraglichen Beziehung mit dem Versicherer verschickt worden sind. Hieraus ergeben sich wichtige Konkretisierungen für die Praxis:

• Der BGH entschied, dass Kopien von Erklärungen oder Schreiben, die dem Verantwortlichen vorliegen, dann im Ganzen herauszugeben sind, wenn sie von der betroffenen Person selbst verfasst wurden. Ein solches Schreiben stelle insgesamt ein personenbezogenes Datum dar, denn der Personenbezug liegt schon darin, dass die betroffene Person das Schreiben mit dem jeweiligen Inhalt überhaupt verfasst hat.
• Erklärungen des Verantwortlichen (in diesem Fall des Versicherungsunternehmens) einschließlich interner Vermerke, Notizen etc. sind dagegen nur insoweit als Kopie herauszugeben als sie auch wirklich personenbezogene Daten der betroffenen Person enthalten. Hierbei besteht nicht zwangsläufig im gesamten Dokument ein Bezug zur Person des Anspruchstellers, weshalb diese auch nicht notwendigerweise im Gesamten als Kopie herauszugeben sind.

(BGH, Urt. v. 27.09.2023 – IV ZR 177/22 Rn. 48; BGH Urt. v. 16.04.2024 – VI ZR 223/21 Rn. 13, 18).

Maßgeblich für das Recht auf Kopie ist, dass betroffene Personen ihr Auskunftsrecht wirksam ausüben können müssen. Dafür muss auch eine gewisse Verständlichkeit der herauszugebenden verarbeiteten Daten gewährleistet sein. Es kann daher erforderlich sein, die herauszugebenden Daten in den jeweiligen Kontext zu setzen und diesen dem Anspruchsteller mitzuteilen. Kann die geschuldete Verständlichkeit nur dadurch erreicht werden, dass ein Dokument im Ganzen herausgegeben wird, erstreckt sich der Umfang des Kopierrechts dann doch auf das gesamte Dokument und nicht lediglich auf die einzelnen Daten (BGH, Urt. v. 16.04.2024 – VI ZR 223/21 Rn. 19).

Ausblick

Als Merkposten festzuhalten ist aus den jüngsten BGH-Entscheidungen:

1. Es genügt für den Antrag auf Auskunft, wenn allgemein alle Daten und Dokumente verlangt werden, die Informationen über die betroffene Person enthalten.
2. Personenbezogen sind regelmäßig alle Schreiben (einschl. E-Mails), die von der Auskunft verlangenden Person selbst verfasst wurde.
3. Vom Anspruchsgegner, dem Verantwortlichen, erstellte Erklärungen (seien es Schreiben oder interne Vermerke) sind nicht generell personenbezogen, sondern nur in den konkret auf den Anspruchsteller bezogenen Angaben und Informationen.
4. Kopien müssen so bereitgestellt werden, dass der Gesamtkontext als Illustration der Auskunft gem. Art. 15 Abs. 1 DSGVO verständlich wird.