Neverending Story: Neues zum Auskunftsrecht nach Art. 15 DSGVO

Das Finanzgericht München und der VerfGH NRW hatten sich in den letzten Monaten mit dem Auskunftsrecht nach Art. 15 DSGVO zu befassen – einmal mit der Frage, ob es über Art. 15 DSGVO ein „Akteneinsichtsrecht“ gibt und einmal mit dem Vorwurf, eine nicht erteilte Auskunft könnte zu einer Verletzung des Rechts auf rechtliches Gehör führen.

Das Finanzgericht München hatte jüngst zu der Frage zu entscheiden, in welchem Umfang der Auskunftsanspruch nach Art. 15 DSGVO Einsicht in umfangreiche Aktensammlungen, einschließlich Aktenvermerke, rechtliche Analysen etc., gewährt. Die Entscheidung verdeutlicht: Nicht immer sind umfangreiche Auskunftsersuchen gerechtfertigt.

FG München: Kein Akteneinsichtsrecht nach Art. 15 DSGVO

Im Rahmen des Auskunftsanspruchs nach Art. 15 DSGVO stellt sich bei umfangreichen Aktensammlungen oftmals folgende Frage: Reicht der Anspruch soweit, dass von sämtlichen in der(/n) Akte(n) enthaltenen Schriftstücken Kopien zu erstellen sind? Oder fallen nur einzelne Angaben in den Dokumenten als personenbezogene Daten in den Anwendungsbereich der DSGVO, sodass der Auskunftsanspruch entsprechend in seinem Umfang begrenzt ist?

Das FG München hatte nun bereits zum zweiten Mal die Gelegenheit, hierüber zu urteilen (FG München, Urt. v. 05.05.2022 – 15 K 194/20). Ein erstes Urteil des FG München hatte derselbe Kläger bereits im November 2021 errungen (FG München, Urteil vom 04.11.2021 – 15 K 118/20). In beiden Verfahren begehrte der Kläger Auskunft über die vom Finanzamt und dem Bayrischen Landesamt für Steuern verarbeiteten, den Kläger betreffenden personenbezogenen Daten und Einsicht in bzw. (Farb-)Kopie von sämtlichen Verfahrensakten und Schriftstücken. Während die streitgegenständlichen Akten im Verfahren gegen das Finanzamt vor allem das Besteuerungsverfahren betrafen, ging es in dem Verfahren gegen das Landesamt um die im Rahmen eines (Dienstaufsichts-) Beschwerdeverfahrens geführten Akten.

Kein umfassender Auskunftsanspruch gem. Art. 15 DSGVO

Eine Verwaltungsakte wird zur Dokumentation eines konkreten Verwaltungsverfahrens angelegt. Es liegt nahe, dass die in der Akte enthaltenen Dokumente und Schreiben Angaben zu Verfahrensbeteiligten enthalten, die als personenbezogene Daten zu qualifizieren sind. Das Finanzgericht München stellte sich die Frage, ob diese „naheliegende Vermutung“ ausreiche, um für sämtliche Dokumente wie Schriftwechsel, Aktenvermerke, rechtliche Stellungnahmen oder Analysen den erforderlichen Personenbezug herzustellen, der für die Öffnung des Anwendungsbereichs der DSGVO erforderlich ist.

Diese Frage verneint das Gericht: Personenbezogene Daten seien Einzelangaben und nicht etwa Akten oder Aktensammlungen, so das Gericht und verweist dabei auf § 3 Abs. 1 BDSG a.F. sowie Erwägungsgrund 15 zur DSGVO.

Textpassagen oder ganze Schriftstücke als personenbezogene Daten?

Trotzdem können Textpassagen oder Volltexte einzelne Angaben (Tatsachen, Werturteile o.ä.) enthalten, die das Potential in sich tragen, personenbezogene Daten und damit Gegenstand eines Auskunftsanspruchs zu sein. Erst durch einen menschlichen Interpretationsakt, den das FG München als „Heben“ bezeichnet, werde aus einem potentiellen ein tatsächliches personenbezogenes Datum. Die „bloße Veraktung“ reiche hierfür nicht aus. Erst durch die beabsichtige Zuordnung unter einen „spezifischen, personenbezogenen (Feld-)Bezeichner“ (auch Kategorie oder Kriterium) werde ein ausreichendes Maß an „Strukturiertheit“ innerhalb der Dokumentation hergestellt, welche den Anwendungsbereich der DSGVO eröffne. Jedenfalls das Ergebnis des Verwaltungsverfahrens, die Verwaltungsentscheidung, enthalte personenbezogene Daten; durch Bekanntgabe der Entscheidungsbegründung werde der Auskunftsanspruch jedoch erfüllt.

In Abgrenzung dazu sind Einzelangaben, die strukturiert in Datenbanken abgelegt und spezifischen Kriterien (z.B. die Feldbezeichner „Geburtsdatum“, „Adresse“) zugeordnet werden, unmittelbar und direkt als personenbezogene Daten zu erkennen und dementsprechend vom Auskunftsanspruch umfasst.

Besonderheit: Immanente Zuordnung

Beachtlich ist, dass diese Rechtsgrundsätze lediglich für umfangreiche Akten gelten sollen. Diese kennzeichnet, dass in ihnen enthaltene Daten in der Vielzahl der Angaben nicht leicht wiederauffindbar sind. In anderen Fällen sei die Zuordnung zu einer konkreten Person dem Schriftstück immanent. Das sei in den vom EuGH in diesem Zusammenhang entschiedenen Fällen der Fall gewesen. Das gelte etwa für eine Sammlung mit wenigen Daten, die umfassend strukturiert sind (vgl. EuGH, Urt. v. 10.07.2018 – C-25/17 – „Zeugen Jehovas“). Ebenso sind Korrekturanmerkungen zu einer Prüfungsarbeit in einem so engen persönlichen Bezug, dass die Zuordnung zum Bearbeiter immanent sei (EuGH, Urt. v. 20.12.2017 – C-434/16 –„Korrekturanmerkungen“).

Dass nicht alle Dokumente, die womöglich einer natürlichen Person zugeordnet werden könnten, personenbezogene Daten und damit vom Auskunftsanspruch umfasst sind, hatte auch schon der BGH im Versicherungskontext entschieden: Ausgenommen hatte das Gericht insbesondere interne Bewertungen von Ansprüchen eines Versicherten und zugehörige rechtliche Analysen vom Auskunftsanspruch (wir berichteten dazu in unserem Loschelder-Newsletter aus März 2022). Die Details der Reichweite des Auskunftsanspruchs sind indes nach wie vor umstritten. Einige Themen wird der EuGH in absehbarer Zukunft in anhängigen Vorabentscheidungsverfahren (etwa C-487/21) zu besprechen haben.

In der Praxis sollte man bei komplexen Auskunftsersuchen von Betroffenen durchaus prüfen, ob die Entscheidung des FG München fruchtbar gemacht werden kann, auch wenn es sich nicht um Verwaltungsakten handelt.

DSGVO Auskunftsanspruch: keine Verfassungsbeschwerde vor dem VerfGH NRW

Das Auskunftsrecht aus Art. 15 DSGVO wird in der gerichtlichen Praxis durchaus nicht grenzenlos gewährt, sodass Umfang und Grenzen dieses Anspruchs immer wieder Streitpunkt sind. Auch der Verfassungsgerichtshof NRW (VerfGH) setzte sich Ende Juni mit einer behaupteten fehlerhaften Anwendung des Auskunftsanspruchs und daraus vermeintlich folgender Verletzung des Rechts auf rechtliches Gehör aus Art. 4 Abs. 1 LV i. V. m. Art. 101 Abs. 1 Satz 2 GG auseinander.

Die Verfassungsbeschwerde wurde von der Kammer mit ihrem Beschluss vom 21.06.2021 zurückgewiesen, weil sie nicht den Begründungsanforderungen genüge und damit unzulässig sei. Der Beschwerdeführer hatte sich mit einer Verfassungsbeschwerde gegen die Ablehnung eines Auskunftsanspruchs nach Art. 15 Abs. 3 DSGVO gewehrt. Das OLG Köln hatte zuvor einen solchen Anspruch aus Art. 15 Abs. 3 DSGVO mit der Begründung verneint, dass dieser nur dazu verpflichte, eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen, und nicht darüber hinaus wie gefordert die gesamte Gerichtsakte. Dieser Anspruch sei mit der Übersendung der verarbeiteten Stammdaten in Kopie erfüllt worden.

Der Beschwerdeführer sah sich deshalb durch das OLG in seinen Rechten aus Art. 15 Abs. 3 und 4 DSGVO verletzt. Dies habe der Beschwerdeführer in seiner Verfassungsbeschwerde jedoch nicht näher erläutert, geschweige denn sich damit umfassend auseinandergesetzt. Er habe lediglich unsubstantiiert vorgetragen, dass die Auffassung des Oberlandesgerichts, der datenschutzrechtliche Auskunfts- und Kopieanspruch nach Art. 15 Abs. 1 und 3 DSGVO beschränke sich auf die sog. Stammdaten des Betroffenen, nicht der überwiegend im Schrifttum und der instanzgerichtlichen Rechtsprechung vertretenen Ansicht entspreche. Damit gebe er jedoch nicht zu erkennen, inwiefern das Oberlandesgericht mit ihrer Auslegung des Art. 15 DSGVO Grundrechte außer Acht gelassen habe. Und nur solches spezifisches Verfassungsrecht prüft der Verfassungsgerichtshof.

Die Beschwerdebegründung gebe nach Auffassung des VerfGH NRW also nicht genügend Anlass für eine Vorlage an den Gerichtshof der Europäischen Union nach Art. 267 Abs. 3 AEUV und damit auch nicht für eine Verletzung des Anspruchs auf den gesetzlichen Richter aus Art. 4 Abs. 1 Landesverfassung NRW (LV) i. V. m. Art. 101 Abs. 1 Satz 2 GG.

Der Beschluss des VerfGH NRW macht deutlich, dass der Verfassungsgerichtshof bei der Zulassung einer Verfassungsbeschwerde großen Wert darauf legt, dass die gerügte Grundrechtsverletzung umfassend als solche dargelegt wird. Es reicht auch im Kontext des Datenschutzes nicht aus, das verletzte Recht zu benennen. Vielmehr muss ausführlich begründet werden, warum seine Grundrechte bei der Anwendung des Art. 15 Abs. 3 und 4 DSGVO unberücksichtigt geblieben sind.