Source: https://www.pingdigital.de/blog/2018/11/13/das-britische-verstaendnis-einer-datenkopie-nach-art-15-abs-3-dsgvo/1431
Timestamp: 2019-06-18 17:47:27+00:00

Document:
Das britische Verständnis einer Datenkopie nach Art. 15 Abs. 3 DSGVO - PinG Privacy in Germany
Das britische Verständnis einer Datenkopie nach Art. 15 Abs. 3 DSGVO
Autor: Seda Dag Erstellt am: 13. November 2018 Rubrik: Auskunftsanspruch
“New Europe law makes it easy to find out what your boss has said about you”. Diese Schlagzeile ziert die Seiten eines der bekanntesten britischen Tageszeitungen. „The Guardian“ veröffentlicht den kontroversen Beitrag über die Auswirkungen des neuen Datenschutzrechts und sorgt vor allem bei Befürwortern der Datenschutzgrundverordnung für eine Diskussionswelle. „No, GDPR won’t let you read your boss‘ emails about you” lautet die Antwort eines britischen Journalisten. Wie weitreichend die Betroffenenrechte durch das Wirksamwerden der Datenschutzgrundverordnung erweitert wurden und ob insbesondere Art. 15 Abs. 3 DSGVO den Betroffenen ein Recht auf Herausgabe aller Datenbestände gewährt, wird nach britischem Verständnis stark diskutiert. Der Beitrag soll einen Überblick darüber verschaffen, welche Auswirkungen das neue britische Datenschutzrecht und die Datenschutzgrundverordnung auf Unternehmen in Großbritannien haben und ob ein umfassendes Auskunftsersuchen gerechtfertigt ist.
Mit Wirksamwerden der neuen Datenschutzgrundverordnung wurden auch die Betroffenenrechte erheblich erweitert und verstärkt. Insbesondere das in Art. 15 DSGVO normierte Auskunftsrecht gewährleistet, dass Betroffenen ein Recht auf Herausgabe einer „Kopie“ der Daten, die über sie verarbeitet werden, zukommt. Dabei stellt sich die evidente Frage nach dem Umfang der „Kopie“. Gewährt Art. 15 Abs. 3 DSGVO dem Betroffenen das Recht auf Auskunft über die Gesamtheit der Datenbestände oder ist eine Einschränkung zu Gunsten des Verantwortlichen geboten? Dabei ist zwischen dem deutschen und britischen Verständnis der Norm zu Unterscheiden. Nach dem Wortlaut der Norm lassen sich zwar zwei Lesearten herauskristallisieren. Einerseits könnte der Herausgabeanspruch einer Kopie lediglich alle personenbezogenen Daten umfassen und andererseits, sämtliche Datenbestände, wie auch z.B. den E-Mail Verkehr, der bei dem Verantwortlichen gespeichert ist.
Der im Guardian veröffentlichte Beitrag geht davon aus, dass der Betroffene, der einen Antrag auf Erteilung einer Auskunft über die personenbezogenen Daten stellt, einen Anspruch darauf hat, innerhalb von 30 Tagen, über die Gesamtheit aller Daten, die über ihn aufbewahrt werden, Informationen zu erlangen. Dies umfasse sowohl alle E-Mails, die sich auf den Verantwortlichen beziehen, als auch Leistungsbeurteilungen, Vorstellungsgespräche, Gehaltslisten, Abwesenheitsaufzeichnungen, Disziplinaraufzeichnungen, Computerzugriffsprotokolle, CCTV-Filmmaterial sowie Aufzeichnungen von Telefonanrufen, die mit der Person geführt wurden.
Doch wie soll ein Unternehmen einem solchen umfangreichen Herausgabeanspruch sowohl zeitlich als auch kostentechnisch effizient nachkommen? Wie weitreichend das britische Verständnis der Datenkopie ist und ob sich die Leseart mit der Europäischen Datenschutzgrundverordnung vereinbaren lässt, soll dieser Beitrag aufzeigen.
Britische Leseart
Das britische Datenschutzgesetz (DPA) ergänzt die Allgemeine Datenschutzgrundverordnung der Europäischen Union. Die Umsetzung des DPA 1998 seinerseits wird durch den Information Commissioner (ICO), einen Datenschutzbeauftragten für Großbritannien, überwacht. Hauptzweck des Datenschutzgesetzes ist es, dem Betroffenen hinreichenden Schutz hinsichtlich der Verarbeitung seiner personenbezogenen Daten zu gewähren.
Bereits nach dem Datenschutzgesetz von 1998 hatte der Betroffene, z.B. ein Arbeitnehmer, das Recht, ein Auskunftsersuchen (Subject Access Request, SAR) an den Verantwortlichen zu richten und Auskunft darüber zu erlangen, ob personenbezogene Daten über ihn vorliegen, die verarbeitet werden.
Nach der DPA 1998 kam den Betroffenen ein umfassendes Recht auf Auskunft über die Daten, die über sie verarbeitet wurden zu. Betroffene konnten somit im Rahmen einer SAR die Bereitstellung der Gesamtheit an Informationen, die ein Unternehmen über sie besaß, in Form einer schriftlichen Kopie herausverlangen.
Abschnitt 8 (2) des Datenschutzgesetzes von 1998 sah allerdings vor, dass eine Ausnahme für die Bereitstellung einer Kopie vorliegt, wenn dies „unverhältnismäßig“ ist. Das Prinzip der Verhältnismäßigkeit kann somit in Bezug auf die Durchführung von Datenrecherchen berücksichtigt werden, doch sind die Anforderungen hoch und im Einzelfall vom Verantwortlichen mit überzeugenden Beweisen zu belegen.
Die britische Datenschutzbehörde im Vereinigten Königreich (ICO) hat die Anforderungen an den Antrag auf Erteilung der Auskunft auf personenbezogenen Daten (SAR) aktualisiert. Die Änderungen beziehen sich hauptsächlich auf die Entscheidungen des Berufungsgerichts (Court of Appeal) in der jüngsten Rechtssache Dawson-Damer und anderen gegen Taylor Wessing LLP [2017] EWCA Civ 74.
Das Berufungsgericht hat in vorbezeichneter Angelegenheit entschieden, wie weit ein Datenverantwortlicher gehen muss, um einer Anfrage für den Zugang zu den personenbezogenen Daten nachzukommen. Die Antwort lautet: ziemlich weit. Wenn die Informationen nach englischem Recht nicht gesetzlich geschützt sind und keine andere Befreiung nach dem Datenschutzgesetz des Vereinigten Königreichs (DPA) gilt, besteht grundsätzlich kein Grund, die angeforderten Daten zurückzuhalten.
c) Umfang der Datenkopie
Die Herausforderung einer jeden Informationsanfrage besteht darin, alle relevanten Informationen aus mehreren elektronischen und Papierquellen zusammenführen zu können. Die Datenschutzbehörde erlaubt es nicht, Informationen auszulassen, da diese nur schwer zugänglich sind. Nur weil Informationen archiviert oder gesichert werden, oder sich in einem Ordner mit gelöschten E-Mails befinden, bedeutet dies nicht, dass sie ausgeschlossen werden können. Der Verantwortliche kann sich nicht auf den „unverhältnismäßigen Aufwand“ berufen, nur weil es teuer und zeitaufwendig sein würde, persönliche Daten in archivierten E-Mails zu finden.
Es wird deutlich, dass die Datenschutzbehörde hohe Anforderungen an die Verantwortlichen hinsichtlich der Bereitstellung von Informationen stellt und, dass die Ausnahme wegen eines unverhältnismäßigen Aufwands nicht dazu verwendet werden kann, eine generelle Ablehnung der Informationsanfrage zu rechtfertigen.
Die ICO-Richtlinie gibt an, dass eine generelle Anfrage für alle Informationen, die über den Mitarbeiter gespeichert werden, gültig ist. Dennoch sollte der Betroffene ausreichende Informationen zu den angeforderten Daten bereitstellen, um dem Verantwortlichen die Suche zu erleichtern. Der Verantwortliche kann die Bekanntgabe der Daten nicht auf der Grundlage ausschließen, dass sie schwer zugänglich sind. Auch wenn sich die Informationsbereitstellung als schwierig erweist, muss der Verantwortliche umfangreiche Anstrengungen vornehmen, um die personenbezogenen Daten, die verarbeitet werden, ausfindig zu machen.
Trotz des umfassenden Auskunftsanspruchs gilt es bei Herausgabe von Kopien die Rechte und Freiheiten anderer Personen gem. Art. 15 Abs. 4 DSGVO zu berücksichtigen. Neben Daten Dritter, die eine solche Kopie beinhalten kann, können auch Rechte des Eigentums und Geschäftsgeheimnisse des Verantwortlichen mit dem Herausgabeanspruch des Betroffenen kollidieren. Der Verantwortliche muss demnach einerseits seine umfassende Herausgabepflicht erfüllen und andererseits darauf achten Rechte Dritter nicht zu verletzen. Es ist festzuhalten, dass der Schutz der Rechte und Freiheiten anderer Personen nicht absolut ist und jegliche Verweigerung der Herausgabe von Kopien gerechtfertigt. Inwieweit fremde Recht der Informationserteilung entgegenstehen ist nach dem Einzelfall unter Abwägung beiderseitiger Interessen und einer Güterabwägung zu beurteilen.
Es gibt einige Stimmen, die sich gegen die Annahme eines solchen umfassenden Zugriffsrechts aussprechen. Der Betroffene könne zwar Zugriff auf die persönlichen Daten beantragen, die der Verantwortliche gespeichert habe. Dies seien jedoch Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. In der europäischen Rechtsprechung hieße es eindeutig, dass Daten wie E-Mails, in denen z.B. der Name des Betroffenen vorkommt, nicht übermittelt werden müssen. Der Grund für diese Annahme sei, dass die internen Nachrichten persönliche Gedanken des Verantwortlichen beinhalten. Das Zugriffsrecht erstrecke sich nicht auf die persönlichen Nachrichten, Gedanken und Ideen, die andere über die betroffene Person haben. Basierend auf der DSGVO existiere demnach kein umfassendes Zugriffsrecht.
Trotz des neuen britischen Datenschutzgesetzes, welches im Mai 2018 in Kraft getreten ist, lässt sich in der Praxis hinsichtlich der Anforderungen an eine Kopie keine große Veränderung verzeichnen. Mit Wirksamwerden der Datenschutzgrundverordnung und des DPA 2018 wurden lediglich die Pflichten hinsichtlich der Gebühren, der Zeitspanne für die Antwortfrist sowie die Form der Datenkopie an die DSGVO angepasst. Der Umfang der bereitzustellenden Informationen scheint weiterhin der Gleiche zu sein.
Übertragbarkeit auf Art. 15 DSGVO
Es stellt sich die Frage, ob Art. 15 DSGVO im Lichte des britischen Verständnisses ausgelegt werden muss und so verstanden werden kann, dass dem Betroffenen ein umfassendes Informationsrecht zukommt.Die Vorschrift des Art. 15 Abs. 3 S. 1 DSGVO ordnet zwar an, dass der Verantwortliche eine „Kopie“ der Daten an den Betroffenen zur Verfügung stellen muss. Umstritten sind allerdings der Umfang der zu kopierenden Daten und die Reichweite dieser Vorschrift. Würde man im Einklang mit dem britischen Recht Art. 15 Abs. 3 DSGVO in der Form auslegen, in der umfassende Datenbestände an den Betroffenen herauszugeben sind, würde dies unter anderem zu einem erheblichen zeitlichen Aufwand bei dem Verantwortlichen führen. Unzählige Anfragen nach allen persönlichen Daten könnten einem mittelständischen Unternehmen leicht viele Ressourcen abnehmen und so den Verantwortlichen erheblich beeinträchtigen. Dies ist nicht Ziel des Rechts auf Auskunft nach der DSGVO.
Der Wortlaut des Art. 15 Abs. 3 DSGVO bezieht sich ausdrücklich auf die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“. Diese Beschreibung legt nahe, dass der Verantwortliche dem Betroffenen nur solche Daten preisgeben muss, die zu den Stammdaten oder den Stammakten zählen. Eine Herausgabe aller Informationen ist nicht mit dem Wortlaut in Einklang zu bringen. Würde man annehmen, Art. 15 Abs. 3 DSGVO begründe einen Auskunftsanspruch über die Gesamtheit der vorhandenen Daten eines Betroffenen, wäre mit einem erheblichen und meist nicht umsetzbaren Aufwand für die Unternehmen zu rechnen, da solche umfangreichen Datenbanken, die eine Herausgabe des kompletten Datenbestands ermöglichen, in der Regel nicht existieren.
Eine Übertragung des britischen Verständnisses zu dem Umfang der Datenkopie auf Art. 15 Abs. 3 DSGVO erscheint nicht datenschutzkonform. Es kann nicht vom Gesetzgeber gewollt sein, mit allen Mitteln den Betroffenen zu begünstigen und dabei die Interessen des Verantwortlichen komplett außen vor zu lassen. Eine solche Interessenabwägung erscheint unverhältnismäßig.
Das britische Verständnis von einer „Kopie“ hat im Rahmen der SAR eine lange Tradition. Bereits im britischen Datenschutzgesetz von 1998 wurde die Anfrage auf Informationen gesetzlich geregelt und ermöglichte Betroffenen den Zugang zu ihren personenbezogenen Daten. Schon mit Geltung des alten Datenschutzgesetzes verfügten Betroffenen über das Recht eine umfassende Datenkopie über die personenbezogenen Daten, die verarbeitet wurden, zu verlangen. Die durch die EU-Datenschutzgrundverordnung gewährten sogenannten Öffnungsklauseln ermöglichen einen Spielraum für die national individuelle Gestaltung der Verordnung.
Im Vergleich zu Deutschland ist der Auskunftsanspruch in England wesentlich umfassender und mit weniger Ausnahmeregelungen versehen. Eine solche Praxis auch in Deutschland einzuführen und Art. 15 DSGVO im Lichte des britischen Verständnisses auszulegen, erscheint jedoch fern. Auch wenn sich der Schwerpunkt des Datenschutzgesetzes in den letzten Jahren deutlich in Richtung des Verbraucherschutzes verlagert hat, gilt es trotzdem einen verhältnismäßigen Ausgleich der Rechte und Pflichten des Verantwortlichen und des Betroffenen zu wahren. Auch der Wortlaut des Art. 15 Abs. 3 DSGVO kann mit guten Argumenten (siehe oben) so verstanden werden, dass eine umfassende Kopie nicht erfolgen muss. Eine solche Auslegung schützt den Verantwortlichen einerseits und gewährt dem Betroffenen dennoch hinreichende Auskunftsrechte andererseits.
Das britische Verständnis erschwert es den Verantwortlichen in der Praxis enorm den Erfordernissen nachzukommen. Die Unternehmen müssen sich auf SARs umfassend vorbereiten und gegebenenfalls Dokumentenverwaltungssysteme einrichten, um ihrer Verpflichtung hinreichend nachzukommen. Der damit verbundene Kosten- und Zeitaufwand kann dabei regelmäßig außer Verhältnis zum Auskunftsanspruch des Betroffenen stehen.
Es bleibt mit Spannung abzuwarten, ob mit Einführung des DPA 2018 die ICO ihre Richtlinien anpasst und Änderungen hinsichtlich des Umfangs der Datenkopie vorsieht.
Rubrik: Auskunftsanspruch Stichwörter: Auskunftsanspruch, Kopie

References: Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 15