Orientierungssätze zur Anmerkung
1. Der datenschutzrechtliche Auskunftsanspruch des Art. 15 DSGVO umfasst das Recht, vom Verantwortlichen eine Kopie der verarbeiteten Daten zu erhalten. Dies umfasst eine originalgetreue und vollständige Reproduktion aller Daten im Kontext (Fotokopie oder Scan).
2. Der Anspruch auf Reproduktion aller Daten umfasst auch eine Kopie von Auszügen aus Dokumenten, von vollständigen Dokumenten oder von der Datenbank, sofern dies erforderlich ist, um die Betroffenenrechte wirksam ausüben zu können.
3. Das Auskunftsrecht wird durch die abzuwägenden Rechte und Freiheiten Dritter, deren Daten mit beauskunftet würden, eingeschränkt.
4. Der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO bezieht sich ausschließlich auf personenbezogene Daten des Anfragenden.
A. Einleitung und Problemstellung
Das Datenschutzrecht der Datenschutz-Grundverordnung (DSGVO) kennt deutlich mehr und stärkere Sanktionen für Datenschutzverstöße. So ist auch ein Verstoß gegen die Auskunftspflicht nach Art. 15 DSGVO mit einem Bußgeldrahmen von bis zu 20 Mio. Euro (nach Art. 83 Abs. 5 b DSGVO) bedroht. Beispielsweise wurde der Verstoß eines Technologie-Unternehmens gegen die Auskunfts- und Informationspflicht von der Datenschutzaufsicht Rheinland-Pfalz mit einem Bußgeld von 60.000 Euro geahndet1.
Hinzu kommt die Möglichkeit für Betroffene (Personen, deren Daten verarbeitet werden), zivilrechtliche Ansprüche geltend zu machen. Anders als nach dem BDSG (a.F.) ist nunmehr nicht nur die Geltendmachung materieller, sondern auch immaterieller Schadensersatzansprüche möglich. So hat das ArbG Oldenburg einem Betroffenen einen Schadensersatzanspruch i.H.v. 500 Euro pro Monat für eine verspätete Auskunft, insgesamt 10.000 Euro, zugesprochen;2 das ArbG Dresden hielt einen Schadensersatzanspruch in Höhe von insgesamt 2.500 Euro für gerechtfertigt, 1.000 Euro für die verspätete und 1.500 Euro für die unvollständige Auskunft.3
Der für die Datenverarbeitung Verantwortliche (Verantwortlicher, Art. 4 Nr. 7 DSGVO) sieht sich also in der Zwickmühle, eine nicht rechtzeitige oder nicht vollständige Auskunft zu erteilen und deshalb von einer Aufsichtsbehörde sanktioniert oder auf Schadensersatz wegen unzureichender Auskunft in Anspruch genommen zu werden, oder aber durch eine zu weitreichende Auskunft unter Umständen etwas offenzulegen, was wiederum mit Schadensersatzansprüchen verfolgt werden kann.
Da Auskunftsansprüche4 nicht nur dazu genutzt werden, die Richtigkeit der verarbeiteten Daten oder die Richtigkeit der Datenverarbeitung an sich zu überprüfen, sondern auch um datenschutzfremde (z.B. arbeitsrechtliche Ansprüche, Ansprüche nach dem AGG etc.) zu verfolgen und (Verhandlungs-)Druck aufzubauen, hat die Geltendmachung von Auskunftsansprüchen in der Praxis zugenommen. Naturgemäß nehmen damit auch die Versuche zu, Auskunftsansprüche (z.B. mit dem Argument des Rechtsmissbrauchs) abzuwehren.
In diesem Spannungsfeld bewegt sich die Frage, wie weit der datenschutzrechtliche Auskunftsanspruch reicht, was also genau zu beauskunften ist. Ganz konkret geht es um die Frage, ob nur die von der Verarbeitung betroffenen Daten ggf. in Form der Zusammenstellung dieser Daten in einem separaten Dokument genügt,5 oder ob die Dokumente, in denen die fraglichen Daten enthalten sind, vom Anspruch auf Kopie der Daten umfasst sind. Letzteres lässt ggf. weiter gehende Rückschlüsse auf die Art und den Umfang der Datenverarbeitung sowie auf interne Entscheidungs- und Verarbeitungsvorgänge zu, was im Interesse des Betroffenen liegt. Für den Verantwortlichen ist es auf den ersten Blick einfacher, alles zu fotokopieren oder zu scannen, was den Betroffenen betrifft (sofern man alles findet); es besteht aber auch die Gefahr, dass dabei Informationen über Dritte beinhaltet sind und mit beauskunftet werden, was wiederum einen Datenschutzverstoß in Form der unrechtmäßigen Datenweitergabe darstellen kann. In der Literatur wird vertreten, dass eine Kopie ohne gesonderte Aufforderung zur Verfügung zu stellen sei, weil die Aufforderung schon im Auskunftsverlangen beinhaltet ist.6 Nach herrschender Meinung umfasst die Kopie-Erstellung aber nicht notwendigerweise Fotokopien, Scans oder Abschriften ganzer Originaldokumente bzw. Akteninhalte7 oder die gesamte E-Mail-Korrespondenz.8
B. Inhalt und Gegenstand der Entscheidung
Der besprochenen Entscheidung des EuGH lag nun eine Vorlagefrage zu folgendem Fall vor: Eine Person in Österreich hatte von einer Kreditauskunftei Auskunft über die von der Auskunftei über die Person verarbeiteten personenbezogenen Daten verlangt. Der Betroffene bat um eine Kopie der Dokumente, also der E-Mails und der Datenbankauszüge und anderer Dokumente, die seine Daten beinhalten, in einem üblichen technischen Format. Damit ist in der Praxis das pdf- oder rtf-Format gemeint.9 Er erhielt jedoch nur eine aggregierte Liste seiner von der Auskunftei verarbeiteten Daten, aber keine weiter gehenden Dokumente. Daraufhin legte der Betroffene Beschwerde bei der österreichischen Datenschutzaufsicht ein. Diese wies die Beschwerde zurück, da sie der Auffassung war, dass die Kreditauskunftei den Auskunftsanspruch erfüllt habe. Hieraufhin wandte sich der Betroffene an ein Gericht in Österreich, welches die Frage nach der Reichweite des Art. 15 Abs. 3 DSGVO dem EuGH zur Vorabentscheidung vorgelegte.
1. Begriff der „Kopie“
In der Besprechungsentscheidung hat der EuGH den Begriff der „Kopie“ und den Umfang des Rechts auf Kopie nach dem Wortlaut, dem Kontext der Regelung und den Zielen der Regelung ausgelegt.
a) Wortlautverständnis
Nach dem Wortlautverständnis ist mit „Kopie“ eine originalgetreue Reproduktion oder „Abschrift“ gemeint. Eine reine Beschreibung der Daten oder der Datenkategorien (Stammdaten, Bonitätsdaten, Transaktionsdaten etc.) reicht nicht aus.
Von dem Anspruch auf „Kopie“ sind alle personenbezogenen Daten und damit alle Informationen über eine identifizierte oder identifizierbare Person gemeint, einschließlich der Daten, die sich aus einer Verarbeitung personenbezogener Daten ergeben, also z.B. die Beurteilung der Zahlungsfähigkeit oder der Zahlungswilligkeit (Score-Wert).
b) Ziel des Auskunftsanspruchs
Der Transparenzgrundsatz (Art. 5 Abs. 1 Buchst. a DSGVO) erfordert, dass ein Betroffener weiß, wer von ihm welche Daten wozu und wie lange verarbeitet. Diesem Grundsatz dient sowohl die Informationspflicht nach Art. 13 und Art. 14 DSGVO, also auch der Auskunftsanspruch nach Art. 15 DSGVO. Die näheren Modalitäten (wie „einfache und verständliche Sprache“) und die Antwortfristen sind in Art. 12 DSGVO geregelt. Dabei dient das Recht auf Kopie dem Ziel, sich über die Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können (Erwägungsgrund 63). Der Betroffene soll also mit der Auskunft in der Lage sein zu überprüfen, ob die Daten richtig sind und in zulässiger Weise verarbeitet werden. Das Auskunftsrecht dient damit als Grundlage, um ggf. weitere Rechte (z.B. auf Löschung, auf Einschränkung der Verarbeitung, auf Widerruf oder Schadensersatz, Art. 82 DSGVO) geltend machen zu können.
Durch die Auskunft soll der Betroffene in die Lage versetzt werden, die Information über die verarbeiteten Daten in vollem Umfang und leicht zu verstehen, was mitunter deren vollständigen Kontext voraussetzt. Erfasst sind auch Daten aus Freitextfeldern oder Daten, die aus anderen Daten generiert wurden. Nur so könne das Ziel der Verordnung, ein unionsweit einheitlich hohes Datenschutzniveau, mit einer gleichmäßigen und einheitlichen Anwendung erreicht werden.
Der EuGH knüpft allerdings für das Recht, eine Kopie in Form von Auszügen aus Dokumenten, ganze Dokumente oder Datenbankauszüge zu erhalten, an das Kriterium der Erforderlichkeit („unerlässlich“) an, um die wirksame Ausübung der Betroffenenrechte zu ermöglichen. Zudem sind die Rechte und Freiheiten Dritter zu berücksichtigen, wozu auch Geschäftsgeheimnisse, das Recht des geistigen Eigentums und Urheberrechte gehören.
2. Begriff der „Informationen“
Der Begriff der „Informationen“ in Art 15 Abs. 3 Satz 3 DSGVO entspricht zwangsläufig den personenbezogenen Daten, von denen dem Betroffenen eine Kopie zur Verfügung zu stellen ist. Der EuGH betont, dass der Begriff „Informationen“ ausschließlich die zur Verfügung zu stellenden personenbezogenen Daten umfasst, also nicht darüber hinaus geht und etwa, wie in der Vorlagefrage angedeutet, auch Metadaten umfasst.10
C. Kontext der Entscheidung
In der Kommentarliteratur gibt es Stimmen, die sich gegen die extensive Auffassung von deutschen Gerichten bezüglich des Umfangs des Auskunftsanspruchs gewandt haben. Begründet wurde diese Auffassung zum einen mit einer Rechtsprechung des EuGH11 zum Auskunftsanspruch nach der früheren Datenschutzrichtlinie RL 95/46/EG, wonach der betroffenen Person gerade nicht das Recht zusteht, eine vollständige Kopie aller Unterlagen zu fordern.
Zum anderen würde ein exzessiv verstandenes Auskunftsrecht über das Datenschutzrecht ein dem deutschen Recht fremdes „Pretrial Discovery-Verfahren“ einführen. Dies stünde im Widerspruch zum Beibringungsgrundsatz der ZPO, wonach jede Partei selbst die für ihre Position günstigen Tatsachen und Beweismittel vorbringen muss.12
Beiden Argumenten hat der EuGH nun eine Absage erteilt.
D. Auswirkungen für die Praxis
Da sowohl der BGH wie auch das BVerwG in ihrer neueren Rechtsprechung den Auskunftsanspruch bislang schon sehr weit ausgelegt haben, dürfte sich für die Praxis in Deutschland durch die besprochene EuGH-Entscheidung nicht sehr viel für den Auskunftsanspruch selbst ändern. Es gibt jetzt aber zumindest etwas mehr Rechtssicherheit dahingehend, dass ein Anspruch auf Kopie nicht nur die verarbeiteten Daten in tabellarischer Form betrifft, sondern auch eine Fotokopie oder einen Scan bzw. eine Kopie von Dateien.
I. Beispiele bisheriger Rechtsprechung deutscher Gerichte seien in Erinnerung gerufen
- So hatte der BGH schon bislang entschieden, dass Mieter einen Anspruch auf Auskunft gegen den Vermieter dazu haben, wer sich über sie bei ihm beschwert hat.13
- Schuldner können von der Zwangsverwalterin eines Grundstücks kostenfrei Auskunft über die von ihnen verarbeiteten Daten verlangen.14
- In einem Grundsatz-Urteil hat der BGH entschieden, dass der datenschutzrechtliche Auskunftsanspruch gemäß Art. 15 DSGVO weit auszulegen ist.15 Konkret erläuterten die BGH-Richter, dass sämtliche Korrespondenz, die Daten aus dem Versicherungsschein sowie interne Vermerke und interne Kommunikation unter den Begriff fallen können. Wörtlich heißt es, dass „[i]nterne Vermerke oder interne Kommunikation bei der Beklagten, die Informationen über den Kläger enthalten, als Gegenstand des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO ebenfalls grundsätzlich in Betracht (kommen)“. Dies sei beispielsweise entsprechend der Beurteilung der Schreiben des Klägers bei Vermerken der Fall, die festhalten, wie sich der Kläger telefonisch oder in persönlichen Gesprächen geäußert hat (...). Auch Vermerke über den Gesundheitszustand des Klägers enthalten personenbezogene Daten. Die Erwägung des Berufungsgerichts, es handle sich bei Vermerken um „interne Vorgänge der Beklagten“, sei im Hinblick auf den Begriff der personenbezogenen Daten ohne Relevanz. Der Auskunftsanspruch gemäß Art. 15 Abs. 1 DSGVO setze offensichtlich weder nach seinem Wortlaut noch nach Sinn und Zweck voraus, dass die fraglichen Daten extern zugänglich sind. Soweit der Kläger Auskunft über die internen Bewertungen der Beklagten zu den Ansprüchen des Klägers aus der streitgegenständlichen Versicherungspolice verlange, sei allerdings zu beachten, dass nach der Rechtsprechung des EuGH rechtliche Analysen zwar personenbezogene Daten enthalten können, die auf der Grundlage dieser personenbezogenen Daten vorgenommene Beurteilung der Rechtslage selbst aber keine Information über den Betroffenen und damit kein personenbezogenes Datum darstellen (...). Daten über Provisionszahlungen der Beklagten an Dritte hätten nach den vom EuGH entwickelten Kriterien ebenfalls keinen Bezug zur Person des Klägers; sein nach dem Vorbringen der Revision auch hierauf gerichtetes Auskunftsbegehren könne der Kläger daher nicht auf die DSGVO stützen.
- Des Weiteren hat das BVerwG einem Prüfungskandidaten einen Auskunftsanspruch in Form einer kostenfreien Kopie seiner Prüfungsleistung (Staatsexamensklausur) zugesprochen, einschließlich dem zugehörigen Prüfergutachten.16
- Hingegen hatte das BAG17 anderweitig entschieden, indem es eine Klage auf Kopie aller E-Mails abwies; dies dürfte der hier besprochenen EuGH-Entscheidung so nicht mehr standhalten. Das BAG hatte argumentiert, dass bei einer Verurteilung der Beklagten, eine Kopie des E-Mail-Verkehrs des Klägers zur Verfügung zu stellen sowie von E-Mails, die ihn namentlich erwähnen, unklar bliebe, Kopien welcher E-Mails die Beklagte zu überlassen habe. Im Übrigen, so das BAG, wäre Gegenstand der Verurteilung die Vornahme einer nicht vertretbaren Handlung i.S.v. § 888 ZPO gewesen, für die im Zwangsvollstreckungsrecht nicht vorgesehen sei, dass der Schuldner an Eides statt zu versichern habe, sie vollständig erbracht zu haben.
- Nach einer Entscheidung des LG Köln18 umfasst der DSGVO-Auskunftsanspruch auch bloße Gesprächsvermerke und Telefonnotizen.
II. EuGH-Auskunfts-Rechtsprechung in Bezug auf Vorbereitung und Geltendmachung von Schadensersatzansprüchen
Interessanter noch mit Blick auf die noch zu erwartenden Urteile des EuGH zur Auslegung des Schadensersatzanspruchs aus Art. 82 DSGVO ist aber die Aussage in der Besprechungsentscheidung, dass mit dem Auskunftsanspruch auch datenschutzfremde Ansprüche vorbereitet werden können. Der EuGH stellt klar, dass das Auskunftsrecht gerade auch dazu dienen kann, einen Schadensersatzanspruch vorbereiten und Ansprüche nach Art. 82 DSGVO geltend machen zu können. Das Auskunftsrecht dient also nicht nur dazu, die Richtigkeit der Daten und deren Verarbeitung überprüfen zu können. Mithin kann auch mit der Vermutung, jemand mache einen Auskunftsanspruch nur aus datenschutzfremden Interessen auf Schadensersatz geltend, wofür der Auskunftsanspruch nicht da sei, der Auskunftsanspruch nicht als rechtsmissbräuchlich zurückgewiesen werden.19 Die Praxis, sich für einen Newsletter eines Unternehmens einzutragen, um einen Auskunftsanspruch geltend zu machen (in der Hoffnung, dass ein Unternehmen die ausgelagerte E-Mail-Adressdatenbank bei einem Newsletterprovider nicht in den Auskunftsprozess einbezogen hat), um dann Schadensersatzansprüche geltend machen zu können, ist sicherlich rechtsmissbräuchlich.20
III. Erfordernis eines entstandenen – materiellen oder immateriellen – Schadens und Beweislast
Bereits taggleich mit der Besprechungsentscheidung hat der EuGH am 04.05.2023 in der Rechtssache C-200/21 geurteilt, dass für einen Schadensersatzanspruch nach Art. 82 DSGVO neben einem Verstoß gegen die DSGVO auch ein materieller oder immaterieller Schaden des Betroffenen entstanden sein muss, den dieser zu beweisen hat.21 Allerdings gibt es keine Bagatellgrenze bzw. Erheblichkeitsschwelle für die Geltendmachung eines Schadensersatzanspruchs. Was allerdings als immaterieller Schaden angesehen wird, ob schon ein individuell empfundenes Unwohlsein,22 Ängste wegen Kontrollverlust o.Ä. ausreichen, ließ der EuGH leider offen. Dies zu beurteilen, bleibt den nationalen Gerichten überlassen. Daher hat diese EuGH-Entscheidung außer der nicht überraschenden Erkenntnis, dass es neben einer Rechtsverletzung auch eines nachweisbaren Schadens bedarf, nur die Bestätigung gebracht, dass es keine Bagatellgrenze bei schadensersatzpflichtigen Datenschutzverstößen gibt. Rechtssicherheit bezüglich der möglichen individuellen immateriellen Schäden und zur Höhe des Schadensersatzes liefert der EuGH allerdings nicht.
IV. Missbrauchseinwand
Zur Vorabentscheidung liegt dem EuGH aus Deutschland noch die Frage vor, ob der Verantwortliche verpflichtet ist, eine kostenfreie Kopie der Patientenakte zur Verfügung zu stellen, wenn diese genutzt werden soll, um einen Arzthaftungsanspruch geltend zu machen.23 Aus dieser Entscheidung sind Erkenntnisse zum Missbrauchseinwand in Bezug auf den Auskunftsanspruch zu erwarten.
V. Weiterführende Hinweise, Muster und Leitlinien
Hilfestellung für die Praxis bietet u.a. die bayerische Datenschutzaufsicht mit Mustern und Hinweisen für Auskunftsanfragen von Betroffenen und deren Beantwortung durch Verantwortliche (https://www.lda.bayern.de/de/thema_auskunft.html, abgerufen am 10.05.2023) sowie eine Leitlinie zum Recht auf Auskunft (https://www.datenschutz-bayern.de/verwaltung/OH_Recht_auf_Auskunft.pdf, abgerufen am 10.05.2023). Der Europäische Datenschutzausschuss hat am 17.04.2023 eine Version 2.0 einer Richtlinie 01/2022 zum Betroffenenrecht – Recht auf Auskunft – veröffentlicht: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en (Stand 04/2023), abgerufen am 10.05.2023.
