Source: https://www.it-recht-kanzlei.de/auskunftsanspruch-dsgvo-grenzen.html
Timestamp: 2019-09-15 22:49:07+00:00

Document:
News vom 26.06.2019, 13:39 Uhr | Keine Kommentare
Die Datenschutz-Grundverordnung (DSGVO) gibt jeder natürlichen Person ein Recht darauf, zu erfahren, wer welche personenbezogenen Daten über sie gespeichert hat. Seit der Einführung dieses Auskunftsanspruches besteht in Praxis und Rechtsprechung immer wieder Streit darüber, welche konkreten Daten vom Betroffenen berechtigterweise abgefragt werden können. Über den Umfang eines Auskunftsanspruches hatte jüngst auch Landgericht Köln mit Urteil vom 18.03.2019 (Az. 26 O 25/18) zu entscheiden. Die IT-Recht Kanzlei stellt das Urteil vor und gibt im Anschluss einen Überblick über die Reichweite des Auskunftsanspruches.
III. Übersicht zum Auskunftsanspruch
d) Einschränkungen und Ausnahmen nach § 34 BDSG
IV. Fazit und Hinweis auf Muster zum Auskunftsverlangen
Hinweis: Das OLG Köln hat das nachfolgend behandelte Urteil mit Entscheidung vom 26.07.2019 (Az. 20 U 75/18) aufgehoben und den Umfang des datenschutzrechtlichen Auskunftsanspruchs denkbar weit gesteckt. Mehr zum Berufungsurteil des OLG Köln lesen Sie in diesem Beitrag der IT-Recht Kanzlei.
„Gemäß Art. 15 Abs. 1 DS-GVO steht der betroffenen Person ein umfassender Anspruch auf Auskunft über verarbeitete sie betreffende personenbezogene Daten sowie weitere Informationen zu. Die Information muss u.a. auch die Verarbeitungszwecke (...), die Empfänger von Daten (...) und die geplante Dauer der Speicherung (...) enthalten. Gemäß Artikel 4 Nr. 1 DSGVO sind „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Eine „Verarbeitung von Daten“ stellt gemäß Artikel 4 Nr. 2 DSGVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Insofern ergibt sich ein umfassendes Auskunftsrecht bezogen auf die gespeicherten bzw. verarbeiteten personenbezogenen Daten. Dies beinhaltet Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw.“
Das Gericht stellte allerdings klar, dass in Art. 15 DSGVO jedoch kein genereller allumfassender Auskunftsanspruch zu sehen sei. Vom Auskunftsanspruch erfassten seien lediglich personenbezogenen Daten. Sonstige Daten, insbesondere für interne Zwecke gespeicherte Vorgänge über den Auskunftssteller, unterlägen nicht der Auskunftspflicht.
„Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann (...). Rechtliche Bewertungen oder Analysen stellen insofern ebenfalls keine personenbezogenen Daten in diesem Sinne dar.“
„Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DSGVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält.“
Wer kann einen Auskunftsanspruch geltend machen? Bedarf dies einer bestimmten Form? In welcher Form muss Auskunft erteilt werden und besteht hierfür eine Frist? Über welche Daten muss Auskunft gegeben werden? Da der Auskunftsanspruch in der Praxis bei den Betroffenen immer wieder Fragen aufwirft, stellt Ihnen die IT-Recht Kanzlei nachfolgend eine kompakte Übersicht über Art und Umfang des Auskunftsanspruches aus Art. 15 DSGVO zur Verfügung.
Das Auskunftsrecht steht jedem „Betroffenen“ oder von ihm zu diesem Zwecke Bevollmächtigten zu, d.h. jeder bestimmten oder bestimmbaren natürlichen Person. Dies gilt unabhängig vom Wohnsitz der Person und unabhängig von deren Nationalität.
Die Informationen sind dem Antragssteller unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen, Art. 12 Absatz 3 DSGVO. In komplexen Fällen kann diese Frist um zwei weitere Monate verlängert werden. Dies ist dem Betroffenen jedoch innerhalb eines Monats, unter Angaben von Gründen, mitzuteilen.
Der Auskunftserstatter ist gemäß Art. 12 Abs. 5 DSGVO grundsätzlich verpflichtet, Betroffenen sämtliche Informationen, Mitteilungen und Maßnahmen unentgeltlich zur Verfügung zu stellen. Sowohl Datenschutzhinweise und Statusbenachrichtigungen als auch Mitteilungen bei der Befolgung von Betroffenenrechten dürfen den Betroffenen also prinzipiell nicht berechnet werden.
Eine Ausnahme trifft Art. 15 Abs. 3 Satz 2 DSGVO im Zusammenhang mit dem Auskunftsrecht für den Fall, dass neben der ersten Kopie mit Informationen über die Art und dem Umfang der Verwendung personenbezogener Daten weitere Kopien verlangt werden. Hier kann der Verantwortliche ein angemessenes Entgelt in Rechnung stellen.
Der Entgeltanspruch ist auf die direkt zurechenbaren Kosten beschränkt und umfasst somit allein Verwaltungskosten für die Unterrichtung, Mitteilung und/oder Durchführung der beantragten Maßnahme sowie Material- und Portokosten bzw. Personal- oder Maschinenkosten für den konkreten Antragslauf (Gola, DSGVO, Art. 12, Rn. 39).
Das Auskunftsrecht gliedert sich in zwei Stufen. Zunächst hat der Betroffene Anspruch darauf zu erfahren ob überhaupt personenbezogene Daten von ihm erhoben und gespeichert wurden. In einem zweiten Schritt hat er, wenn dies der Fall ist, einen Anspruch auf Auskunft über diese Daten bzw., wenn keine Daten von ihm verarbeitet werden, einen Anspruch auf Information darüber (sog. Negativauskunft).
Gemäß Art. 15 DSGVO hat der Anspruchsgegner folgende Informationen bereit zu stellen:
Nicht jeder Antrag der betroffenen Person verpflichtet den Auskunftspflichtigen zum Tätigwerden. Insofern werden in Art. 12 Abs. 2 Satz 2 und Abs. 5 DSGVO und in Art. 15 Abs. 4 DSGVO sowie § 34 BDSG (neu) Gründe festgelegt, die ein Untätigbleiben rechtfertigen und mithin ein Auskunftsverweigerungsrecht etablieren.
Dem Verantwortlichen ist es gestattet, das Tätigwerden aufgrund eines Betroffenenantrags zu verweigern, wenn es ihm nicht möglich ist, die betroffene Person zu identifizieren. Der Betroffene ist daher verpflichtet, ausreichende Angaben zur Verfügung zu stellen, die es dem Anspruchsgegner ermöglichen, ihn zweifelsfrei zu identifizieren und zuzuordnen zu können.
Das Recht zum Untätigbleiben steht dem Verantwortlichen ferner zu, wenn ein Betroffener ein exzessives Antragsverhalten an den Tag legt oder offenkundig unbegründete Anträge stellt.
Exzessiv ist ein Antrag gemäß Art. 12 Abs. 5 Satz 2 DSGVO dann, wenn er zu häufig wiederholt wird. Begründet wird die Exzessivität nur dann, wenn derselbe Antrag zu oft gestellt wird. Die Ausübung verschiedener Betroffenenrechte mittels diverser, unterschiedlicher Anträge begründet ein Leistungsverweigerungsrecht des Verantwortlichen dahingegen nicht. Als Richtlinie für die Beurteilung der zu häufigen Wiederholung wird in der Literatur empfohlen, mehr als eine Anfrage pro Quartal als exzessiv zu beurteilen (Gola, DS-GVO, Art. 12, Rn. 34).
Nach Art. 12 Abs. 4 DSGVO ist er aber gehalten, spätestens innerhalb eines Monats nach Eingang des Antrags über die Gründe des Untätigbleibens sowie über die Beschwerdemöglichkeit bei einer Aufsichtsbehörde zu informieren.
Gemäß Art. 15 Abs. 4 DSGVO kann von einer Auskunftserteilung ausnahmsweise auch dann abgesehen werden, wenn dies die Rechte und Freiheiten anderer Personen beeinträchtigen würde. Diese umfassen beispielsweise etwa Geschäftsgeheimnisse, Rechte des geistigen Eigentums oder Datenschutz
Gemäß § 34 BDSG besteht kein Recht auf Auskunft, wenn die betroffene Person nach § 33 Abs. 1 Nr. 1, 2 Buchstabe b oder Abs. 3 BDSG nicht zu informieren ist, oder die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung oder Datenschutzkontrolle dienen. Auch müsste die Auskunftserteilung dann einen unverhältnismäßigen Aufwand darstellen.
Der Auskunftsanspruch hält in der Praxis für die Verantwortlichen den ein oder anderen juristischen Fallstrick bereit. Macht man sich jedoch ein paar Eckpunkte dieses noch jungen Anspruches aus der DSGVO bewusst, sollte das Auskunftsprozedere jedoch in den meisten Fällen keine Probleme bereiten. Positiv zu bewerten ist das Urteil des Landgerichts Köln, das den Umfang der Auskunftspflicht auf personenbezogene Daten begrenzt und den Anwender davon freistellt, darüber hinausgehende Vermerke und Korrespondenzen herauszugeben.
Zum Zwecke einer schnellen und rechtssicheren Bearbeitung von Auskunftsverlangen stellt die IT-Recht Kanzlei exklusiv für ihre Mandanten Musterauskunftsmitteilungen in drei verschiedenen Sprachen (Deutsch, Englisch, Französisch) zur Verfügung.

References: § 34
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 Art. 12
 Art. 12
 Art. 15
 Art. 12
 Art. 15
 Art. 12
 Art. 15
 § 34
 Art. 12
 Art. 12
 Art. 12
 Art. 15
 § 34
 § 33