Das Auskunftsrecht gem. Art. 15 Datenschutz-Grundverordnung (DSGVO) ist zentraler Bestandteil der Betroffenenrechte aus der DSGVO. Es kann grds. von jeder betroffenen Person gegenüber der verantwortlichen Stelle ausgeübt werden und ist im Gesetz wie folgt definiert:
„(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. (…)“
Es wird deutlich, dass der Auskunftsanspruch gem. Art. 15 Abs. 1 DSGVO auf eine ganze Reihe von Informationen zur Datenverarbeitung gerichtet ist. Geltend gemacht werden kann der Anspruch von jedem Betroffenen der Datenverarbeitung. Dies können z.B. Beschäftigte in einem Arbeitsverhältnis oder Kunden bzw. Lieferanten eines Unternehmens sein, über die personenbezogene Daten im CRM gespeichert werden.
Der Bundesgerichtshof (BGH) hat nunmehr in den Urteilsgründen zu seiner Entscheidung vom 15.06.2021 (VI ZR 576/19) die Reichweite des Auskunftsanspruchs nach Art. 15 DSGVO näher beschrieben. Daraus lässt sich eine sehr weitgehende Interpretation des Auskunftsrechts herauslesen. Aber im Einzelnen:
Zum Gang des Verfahrens
Gegenstand des Auskunftsanspruchs war ein Vertrag des Klägers über seine kapitalbildende Lebensversicherung mit Berufsunfähigkeitszusatzversicherung und im Zusammenhang damit die Geltendmachung des Anspruchs auf vollständige „Datenauskunft im Sinne von § 34 BDSG-alt.“ Hierbei handelt sich um die Vorgängerregelung zu Art. 15 DSGVO, die bis Mai 2018 in Kraft war.
Das Amtsgericht Brühl wies die Klage ab, woraufhin der Kläger seinen Auskunftsspruch vor dem Berufungsgericht weiterverfolgte, nunmehr gestützt auf die Nachfolgeregelung des Art. 15 DSGVO. Er beantragte dabei eine vollständige Auskunft gem. Art. 15 DSGVO, die sich auf sämtliche bei der Beklagten über ihn vorhandene Daten erstreckt, einschließlich der intern zur Person des Klägers und der mit ihm gewechselten Korrespondenz (inklusive der E-Mails), der internen Telefon- und Gesprächsnotizen und sonstigen internen Vermerke der Beklagten zu dem zwischen den Parteien bestehenden Versicherungsverhältnis. Ebenso verlangte der Kläger interne Bewertungen der Beklagten zu den Ansprüchen des Klägers aus der streitgegenständlichen Versicherungspolice.
Das Landgericht Köln ging als Berufungsgericht davon aus, dass dem Auskunftsanspruch bereits ausreichend Rechnung getragen worden sei und wies die Berufung mit Urteil vom 19.06.2019 zurück. Der BGH hat sich im Rahmen der Revision auf das Urteil des Landgerichts zur Reichweite des Auskunftsrechts geäußert. Insoweit hat der BGH die Revision auf Grundlage der nachfolgenden Argumentation für zulässig erklärt, die teilweise Aufhebung des Berufungsurteils angeordnet und die Sache an das Berufungsgericht zurückverwiesen.
Argumentation des BGH
Zunächst stellt der BGH in seiner Urteilbegründung fest, dass sich – wie bereits vom Berufungsgericht angenommen – der Auskunftsanspruch mit dem Wirksamwerden der DSGVO nach Art. 15 DSGVO richtet. Auch folgt der BGH dem Berufungsgericht insoweit, als dass dem Kläger grds. ein Auskunftsanspruch über die bei der verantwortlichen Stelle im Sinne des Art. 4 Nr. 7 Halbsatz 1 DSGVO über ihn verarbeiteten personenbezogenen Daten zusteht.
Der BGH sieht den Auskunftsanspruch des Klägers jedoch nicht als vollständig erfüllt an. Für das Revisionsgericht ist die Erklärung des Auskunftsschuldners wesentlich, dass die Auskunft vollständig ist. Es wird weiter darauf abgestellt, dass die Auskunft seitens der verantwortlichen Stelle erkennbar den Gegenstand des Auskunftsbegehrens abdecken soll.
Der BGH verweist darauf, dass der Kläger sein Auskunftsbegehren – wie oben dargestellt – weiter präzisiert hat, indem er weitergehende Auskünfte hinsichtlich der internen Korrespondenz der Parteien fordert. Das Revisionsgericht hält die im Verfahren geäußerte Ansicht, dass es beim Auskunftsanspruch nur auf signifikante biografische Informationen ankomme, mit der Rechtsprechung des EuGH zum Begriff der personenbezogenen Daten für unvereinbar.
Es sei auch vor dem Hintergrund des Erwägungsgrundes 63 der DSGVO entgegen der Ansicht des Berufungsgerichts nicht zumutbar, die zurückliegende Korrespondenz der Parteien, das „Prämienkonto“ des Klägers und Daten des Versicherungsscheins sowie interne Vermerke und Kommunikation der Beklagten kategorisch vom Anwendungsbereich des Art. 15 Abs. 1 DSGVO auszuschließen.
Dabei versteht der BGH die Schreiben des Klägers an die Beklagte ihrem Inhalt nach per se als personenbezogene Daten i.S.v. Art. 4 Abs. 1 DSGVO, weil sich der Kläger den Schreiben gemäß geäußert hat. Ebenso unterfallen die Schreiben der Beklagten an die Klägerin dem Auskunftsanspruch, wenn sie Informationen über den Kläger enthalten. Der datenschutzrechtliche Auskunftsanspruch ist nach Auffassung des BGH nicht deshalb ausgeschlossen, weil die Schreiben dem Kläger bereits bekannt waren.
Gegenstand des Auskunftsanspruchs im konkreten Fall ist die Auskunft der Beklagten, ob sie die im Schriftverkehr enthaltenen personenbezogenen Daten aktuell verarbeitet, insbesondere speichert. Die Auskunft soll nach Auffassung des Gerichts den Kläger befähigen, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen.
Auch betont der BGH den Anspruch des Auskunftsberechtigten, wiederholt Auskunft zu verlangen und verweist dabei ebenfalls auf Erwägungsgrund 63 der DSGVO. Auch damit widerspricht der BGH der Auffassung des Berufungsgerichts. Im konkreten Fall sieht der BGH auch Zweitschriften und Nachträge zu dem Versicherungsschein grds. vom Recht auf Auskunft umfasst. Dies gelte ebenso für die vom Versicherer verarbeiteten Daten über Prämienzahlungen des Klägers.
Als datenschutzrechtliches Novum kann die Feststellung des BGH angesehen werden, dass auch interne Vermerke oder interne Kommunikation, die Informationen über den Betroffenen enthalten, als Gegenstand des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO in Betracht kommen. Das Gericht hat zudem festgestellt, dass sowohl Vermerke über telefonische oder persönliche Äußerungen unter den Auskunftsanspruch fallen wie auch über den Gesundheitszustand des Klägers.
Verneint wurde der Auskunftsanspruch allerdings für rechtliche Analysen, die auf Grundlage von personenbezogenen Daten angefertigt werden, weil hierin keine Informationen über den Betroffenen enthalten seien. Den Begriff des personenbezogenen Datums sieht der BGH dabei als durch die Rechtsprechung des EuGH „eindeutig geklärt“ an, so dass kein Vorabentscheidungsverfahren erforderlich ist.
Insgesamt stützt der BGH seine Argumentation nicht nur auf den Klageantrag im zu entscheidenden Fall, sondern auch auf die Urteilsbegründung. Der Kläger habe seinen Anspruch auf Auskunft hinreichend konkret dargelegt. Im Ergebnis hat der BGH das Berufungsurteil des Landgerichts Köln aufgehoben und die Sache zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen.
Fazit
Wir haben uns zur Geltendmachung und Reichweite des Rechts auf Auskunft aus Art. 15 DSGVO bereits an mehreren Stellen geäußert (hier und hier). Auch in der Beratungspraxis begegnet uns das Recht auf Auskunft vermehrt, verglichen mit den Anfangstagen der DSGVO.
Die Rechtsprechung des BGH hat nun noch einmal die Reichweite des Auskunftsanspruchs konkretisiert, insbesondere als dass sich dieser auch auf interne Vermerke bezieht. Die Argumentation des höchsten Zivilgerichts erscheint dabei folgerichtig und konsequent. Zu einer vollständigen Auskunft gehören auch Vermerke mit personenbezogenen Daten über den Betroffenen.
Für die Betroffenen bedeutet das Urteil eine Stärkung der eigenen Rechtsposition, für verantwortliche Stellen wie Arbeitgeber, Versicherungen, Telekommunikationsanbieter, etc. einen höheren Aufwand im Sinne einer vollständigen und rechtskonformen Beauskunftung. Die Aufbereitung der gespeicherten Informationen ist alles andere als trivial.
Es wird vermutlich nicht das letzte Urteil zu der Thematik gewesen sein, wir halten Sie hierzu gerne weiter auf dem Laufenden.