BGH zur Auskunft nach Art. 15 DSGVO: Was habt Ihr notiert?

Umfang und Ausgestaltung des Datenauskunftsanspruchs nach Art. 15 Datenschutzgrundverordnung (DSGVO) gehören zu den derzeit wohl am stärksten polarisierenden Fragen der DSGVO. Nach dem jüngsten Urteil des Bundesgerichtshofs (BGH) müssen die für Daten Verantwortliche künftig sehr umfassende Auskünfte erteilen, sogar über interne oder dem Betroffenen bereits bekannte Vorgänge.

Im April 2021 konnte das Bundesarbeitsgericht (BAG) die Reichweite des Rechts auf Auskunft und Kopie nach Art. 15 DSGVO noch unbeantwortet lassen. Die Klage, die dem Urteil des BAG seinerzeit zugrunde lag, war bereits unzulässig. Eine inhaltliche Auseinandersetzung des BAG mit dem Auskunfts- und Kopieanspruch fand daher nicht statt.

So leicht konnte sich der BGH nun nicht mehr aus der Affäre ziehen. Er hat daher Farbe bekannt, die je nach Betrachtungswinkel wohl als schwarz oder weiß wahrgenommen wird.

Bestätigung, Auskunft, Kopie

Der Anspruch aus Art. 15 DSGVO ist dreigeteilt: Der Betroffene kann verlangen, dass der für die Daten Verantwortliche bestätigt, ob ihn betreffende, personenbezogene Daten verarbeitet werden. Werden sie verarbeitet, steht ihm auch ein Recht auf Auskunft über diese Daten zu. Zusätzlich kann er nach Art. 15 Abs. 3 DSGVO den Erhalt einer Kopie der verarbeiteten Daten fordern. Der Anspruch auf Erteilung einer Kopie folgt dabei in dem Umfang dem Auskunftsanspruch.

Reizt man den Anspruch auf Auskunft und Erhalt einer Kopie aus, erhält man so insbesondere vor Gericht ein hervorragendes Mittel, um den Gegner eine Weile zu beschäftigen und ihn gleichzeitig auszuforschen. Hier teilen sich die Lager: Verbraucher- und Arbeitnehmervertreter plädieren für einen umfassenden Auskunfts- und Kopieanspruch. Von den Auskunftspflichtigen, insbesondere Arbeitgebern, wird die vermehrte prozesstaktische Nutzung des Anspruchs jedoch mit Sorge betrachtet.

BGH: Auskunft auch zu internen Vermerken

Dem nun von dem BGH entschiedenen Rechtsstreit (Urt. v. 15.06.2021, Az. VI ZR 576/19) lag folgender Sachverhalt zugrunde: Ein Mann schloss 1997 einen Vertrag über eine Lebensversicherung. Im Jahr 2016 widersprach er dem Zustandekommen des Vertrags. Nachdem das Versicherungsunternehmen den Widerspruch zurückwies, forderte der Mann zunächst eine "Datenauskunft im Sinne von § 34 Bundesdatenschutzgesetz (BDSG)".

Mit Inkrafttreten der DSGVO wurde Art. 15 DSGVO zu der entscheidenden Rechtsgrundlage. Die Versicherung erteilte in der Folge mehrfach Auskunft, die der Mann aber immer als unvollständig empfand. Sowohl das Amtsgericht (AG) Brühl als auch das Landgericht (LG) Köln (Urt. v. 19.06.2019, Az 26 S 13/18) wiesen die Auskunftsklage ab.

Vor dem BGH hatte die Revision des Mannes jedoch größtenteils Erfolg: Das Versicherungsunternehmen habe bisher weder zu der Korrespondenz mit dem Versicherten noch zu internen (Telefon-)Vermerken Auskunft erteilt. Erfüllt sei der Auskunftsanspruch also bei weitem nicht.

BGH: weite Auslegung der "personenbezogenen Daten"

Der BGH nahm zunächst einmal eine lehrbuchmäßige Definition und Auslegung des Begriffs "personenbezogene Daten" im Sinne des Art. 4 Nr. 1 Hs. 1 DSGVO vor. Hierbei erteilte er einer teleologischen Reduktion des Begriffs auf "signifikante biografische Informationen, die im Vordergrund eines Dokuments stehen" rundheraus eine Absage. Eine solche Auslegung kann nach dem BGH vor dem Hintergrund der Rechtsprechung des Europäischen Gerichtshofs (EuGH) keinen Bestand haben.

Auch der Wortlaut spreche für ein weites Begriffsverständnis, denn Art. 4 Nr. 1 Hs. 1 DSGVO definiert personenbezogene Daten ohne Beschränkung auf sensible oder besonders persönliche Informationen. Gestützt werde eine weite Auslegung auch von Erwägungsgrund 63 S. 1 der DSGVO, der als Zweck des Auskunftsrechts festlegt, dass der Betroffene sich der Datenverarbeitung bewusst wird und ihre Rechtmäßigkeit prüfen kann.

BGH: Kenntnis der Daten schadet nicht

Unter die aufgezeigte Definition fallen nach dem BGH auch Schreiben zwischen dem Betroffenen und dem Verantwortlichen. Dass der Betroffene zwangsläufig den Inhalt der von ihm versendeten oder empfangenen Schreiben schon kennt ändere nichts an der Einordnung ihres Inhalts als personenbezogene Daten im Sinne der DSGVO. Denn dass eine Korrespondenz früher einmal stattgefunden hat bedeute nicht, dass der Verantwortliche diese Daten aktuell immer noch verarbeitet. Außerdem könne der Betroffene seinen Auskunftsanspruch aus Art. 15 DSGVO mehrfach geltend machen, in diesem Fall kenne er (einen Teil) der Verarbeiteten Daten ja auch schon.

Diese Argumentation erscheint fragwürdig, wenn man sich einmal vor Augen hält, dass es auch genügen würde, dem Betroffenen mitzuteilen, aus welchem Zeitraum und zu welchem Betreff derzeit noch mit ihm geführte Korrespondenz verarbeitet wird. Nur über diese Information verfügt der Betroffene noch nicht. Insoweit ist der BGH kritikwürdig: Denn auch, wenn der Betroffene nach der DSGVO grundsätzlich schutzwürdig ist, kann niemand ernsthaft verlangen, über etwas informiert zu werden, dass er schon weiß.

Auskunft über Tatsachen, nicht über Rechtsbewertung

Doch selbst eine Beschränkung des Anspruchs auf extern zugängliche Daten lehnte der BGH mangels Verankerung in Wortlaut oder Sinn und Zweck der DSGVO ab. Es sei daher auch Auskunft über interne Vermerke und interne Kommunikation des Verantwortlichen zu erteilen.

Eine Grenze zog der BGH unter Verweis auf einschlägige Rechtsprechung des EuGH jedoch dort, wo bei internen Vorgängen eine rechtliche Bewertung vorgenommen wird. Während über die Tatsachengrundlage der Bewertung Auskunft zu erteilen ist, stelle die Beurteilung der Rechtslage selbst kein personenbezogenes Datum dar und unterfalle damit auch nicht dem Auskunftsanspruch.

Verlagerung auf die Ausschlussnormen

Auf den Punkt gebracht bedeutet das BGH-Urteil also: Betroffene haben Anspruch auf eine umfassende Auskunft - und können zu allem eine Kopie fordern. Es bleibt abzuwarten, wohin diese extensive Auslegung des Auskunfts- und Kopieanspruchs führt.

Der BGH merkte zum Schluss des Urteils an, dass in dem vorliegenden Fall von den ersten beiden Instanzen keine ausreichenden Tatsachenfeststellungen getroffen wurden, um zu beurteilen, ob der Auskunftsanspruch aufgrund von Unverhältnismäßigkeit beschränkt oder ausgeschlossen sei.

Es besteht also eine hohe Wahrscheinlichkeit, dass sich die Diskussionen und rechtlichen Auseinandersetzungen, wann und wie umfänglich nach Art. 15 DSGVO Auskünfte und Kopien zu erteilen sind, nun verstärkt auf den Schauplatz der Ausschlussnormen (z.B. Art. 12 Abs. 5 S. 2 oder Art. 15 Abs. 4 DSGVO) verlagern werden.

Der Autor Tobias Neufeld, LL.M. (CIPP/E, CIPM) ist Partner der Kanzlei Arqis in Düsseldorf und dort Leiter der Fokusgruppe Data.Law sowie Co-Founder der Unternehmensberatung b.yond. Er berät nationale und internationale Unternehmen an den Schnittstellen von Datenrecht, Datenschutz und Corporate Digital Responsibility (CDR).