Kein Identitätsnachweis – keine Auskunft nach Art. 15 DSGVO?

Mit der Beantwortung von Betroffenenbegehren nach Art. 15 ff. DSGVO und insbesondere mit der Bearbeitung von Auskunftsbegehren nach Art. 15 DSGVO hat sich wohl bereits nahezu jedes Unternehmen auseinandersetzen dürfen.

Durch Art. 15 bis Art. 22 DSGVO werden jeder betroffenen Person individuelle Rechte eingeräumt, die diese gegenüber dem für die Verarbeitung der personenbezogenen Daten Verantwortlichen geltend machen kann.

Die Umsetzung von Betroffenenanfragen erfordert in der Praxis die Etablierung wirksamer interner Prozesse, um die Anfragen fristgerecht beantworten zu können. Die Anfragen müssen gem. Art. 12 Abs. 3 DSGVO „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang“ beantwortet werden. Wichtig ist bei der Bearbeitung solcher Anfragen, dass das Bestehen entsprechender Betroffenenrechte vor der Beantwortung zunächst gründlich geprüft wird. Denn auch in einer vorschnellen Beantwortung lauern datenschutzrechtliche Fallstricke.

Identitätsprüfung bei Betroffenenanfragen

Einer der ersten Schritte im Rahmen der Beantwortung der Betroffenenanfrage stellt die Prüfung der Personenidentität dar. Grundsätzlich kann nämlich nur die betroffene Person die Betroffenenrechte geltend machen. Bevor eine Betroffenenanfrage umgesetzt werden kann, muss daher die Identität zwischen der anfragenden und der betroffenen Person überprüft werden bzw. die Legitimation, wenn ein Betroffenenrecht für eine andere Person wahrgenommen werden soll.

Bei begründeten Zweifeln an der Identität der Person hat der Verantwortliche die anfragende Person hierüber zu unterrichten, sodass ihr die Möglichkeit gegeben wird, weitere Informationen für die Identifikationsprüfung bereitzustellen. Sollte die Identifikation trotz Bereitstellung zusätzlicher Informationen nicht möglich sein, kann ein Tätigwerden mit nachweisbaren Gründen verweigert werden (Art. 12 Abs. 2 i. V. m. Art. 11 Abs. 2 DSGVO).

Genau über die Frage, ob der Verantwortliche die Auskunftserteilung von weiteren Nachweisen abhängig machen durfte, hatte das Verwaltungsgericht Berlin (VG Berlin, Beschl. v. 24.04.2023 – Az.: VG 1 K 27/22) kürzlich zu entscheiden.

Was war passiert?

Der Antragsteller verlangte gegenüber einem Unternehmen (eine Wirtschaftsauskunftei) Auskunft gem. Art. 15 DSGVO über die bei dem Unternehmen über ihn gespeicherten personenbezogenen Daten. Das Unternehmen verweigerte jedoch die Auskunft, weil Zweifel bestanden, dass es sich bei der Person, die den Anspruch geltend machte, auch tatsächlich um die betroffene Person handelte.

Das Unternehmen hatte den Antragsteller zuvor vergeblich gebeten, zur Identifikation sein Geburtsdatum und gegebenenfalls frühere Anschriften zu nennen.

Über die nicht erteilte Auskunft beschwerte sich der Antragsteller bei der zuständigen Datenschutzaufsichtsbehörde, die allerdings ein Vorgehen gegen das Unternehmen ablehnte. Gegen den Bescheid der Aufsichtsbehörde reichte der Antragsteller Klage beim VG Berlin ein.

Was sagt das VG Berlin?

Das VG Berlin lehnte den Anspruch des Antragstellers im Rahmen der Prozesskostenhilfe ab, da das betreffende Unternehmen nach Ansicht des Gerichts rechtmäßig gehandelt habe. Dementsprechend sei auch die Aufsichtsbehörde zutreffend davon ausgegangen, dass das betreffende Unternehmen dem Antragsteller gegenüber die begehrte Auskunft nach Art. 15 DSGVO zu Recht verweigert habe, weil die Voraussetzungen des Art. 12 Abs. 6 DSGVO vorlagen.

Es bestanden aufseiten des Unternehmens berechtigte Zweifel an der Identität des Antragstellers. Hierbei war auch die Sensibilität der abgefragten Informationen zu berücksichtigen. Denn Wirtschaftsauskunfteien speichern im Einzelfall ein erhebliches Maß an personenbezogenen Informationen, insbesondere solcher, die einen Schluss auf die Bonität einer Person zulassen, wie etwa bestehende Verbindlichkeiten. Diese Daten wiederum sind ein kommerzialisiertes Wirtschaftsgut, weshalb ein Interesse Dritter an diesen Daten nicht von vornherein fernliegend oder ausgeschlossen ist. Unter Berücksichtigung des Zwecks von Art. 12 Abs. 6 DSGVO, der eine missbräuchliche Geltendmachung der Betroffenenrechte durch unbefugte Dritte verhindern soll, sei es nicht zu beanstanden, dass das betreffende Unternehmen und mit diesem die Aufsichtsbehörde die Zweifel an der Identität des Antragstellers für begründet hielt. Das Unternehmen habe der Aufsichtsbehörde diesbezüglich nachvollziehbar mitgeteilt, dass eine zweifelsfreie Identifikation des Antragstellers nicht möglich gewesen sei, weil es namentliche und/oder weitere Überschneidungen zu weiteren Datensätzen gab.

Hat der Verantwortliche begründete Zweifel an der Identität der betroffenen Person, so sollte er – wie sich aus Erwägungsgrund 64 Satz 1 DSGVO ergibt – alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen. Die Anforderung des betreffenden Unternehmens, der Antragsteller möge zur Identifikation sein Geburtsdatum und gegebenenfalls frühere Anschriften nennen, stellt nach Auffassung des Gerichts eine in diesem Sinne vertretbare Maßnahme zur Identifikation dar. Die Abfrage des Geburtsdatums stehe zu dem Zweck der Identifizierung des Antragstellers auch nicht außer Verhältnis, insbesondere mit Blick auf die erhöhte Sensibilität der bei Wirtschaftsauskunfteien gespeicherten Daten und dem aufgrund der Kommerzialisierung derartiger Daten gesteigerten Missbrauchspotential. Der Antragsteller habe jedoch – unter Verstoß auf die ihm obliegende Mitwirkungspflicht – nicht auf die damit berechtigte Anfrage des betreffenden Unternehmens reagiert.