Informations- und Auskunftspflichten bei der Datenerhebung / 2.2 Umfang des Auskunftsanspruchs

Unklar ist, wie weit der Auskunftsanspruch des Betroffenen und insbesondere die Aushändigung von Kopien geht. Nach Art. 15 Abs. 4 DSGVO ist das Recht auf Erhalt einer Kopie begrenzt, wenn dadurch die Rechte und Freiheiten anderer Personen beeinträchtigt werden; darunter fallen nach Erwägungsgrund 63 Satz 5 auch Geschäftsgeheimnisse, geistiges Eigentum oder Urheberrechte an Software.

Rechtsprechung

In Rechtsstreitigkeiten z. B. mit Verbrauchern oder Arbeitnehmern wurde der Anspruch auf Erhalt einer Kopie geltend gemacht, um den Gegner zu beschäftigen und ggf. Informationen zu erhalten, die im Rechtsstreit gegen ihn verwendet werden können. Der BGH^[1] legte das Auskunftsrecht sehr weit aus. Auf eine Vorlage an den EuGH hat er mit Verweis auf die Rechtsprechung des EuGH^[2] in dem Verfahren C-141/12 verzichtet.

Dieses EuGH-Verfahren betraf noch die Richtlinie 95/46/EG, also die Vorgängervorschrift der DSGVO. In seiner Entscheidung schränkte der EuGH das Auskunftsrecht in der Weise ein, dass es kein umfassendes Recht auf Einsicht in Dokumente gewähre und insoweit nicht in ein Akteneinsichtsrecht ausgeweitet werden dürfe. Damit wäre der Auskunftsanspruch auf die personenbezogenen Daten beschränkt und der Betroffene könnte keine vollständige Kopie sämtlicher Dokumente verlangen, die personenbezogene Daten über ihn enthalten.

Dieser praktikablen Auffassung ist der BGH in seinem oben genannten Urteil nicht gefolgt. Nach seiner Auffassung sind personenbezogene Daten potenziell alle Arten von Informationen – sowohl objektiver als auch subjektiver Natur – in Form von Stellungnahmen oder Beurteilungen, sofern es sich um Informationen über den Betroffenen handelt. Ein Auskunftsberechtigter könne auch wiederholt Auskunft verlangen. Das Auskunftsrecht nach Art. 15 DSGVO sei auch nicht auf Daten beschränkt, die dem Betroffenen noch nicht bekannt seien. Auch Korrespondenz mit Dritten und interne Vermerke könnten auf die Person eines Betroffenen bezogene Daten enthalten und seien deshalb dem Betroffenen in Kopie zu übergeben. Keine Auskunft könne der Betroffene aber über interne Bewertungen des Verantwortlichen zu einem streitigen Rechtsverhältnis mit dem Betroffenen verlangen, weil rechtliche Analysen zwar personenbezogene Daten enthalten könnten, die auf der Grundlage solcher Daten vorgenommene Beurteilung der Rechtslage aber keine Information über den Betroffenen sei und damit auch nicht zu den personenbezogenen Daten gehöre.

Die Frage, ob der Auskunftsanspruch aufgrund zweckwidriger Anspruchsverfolgung oder des unverhältnismäßigen Aufwands und bestehender Geheimhaltungsinteressen ausgeschlossen sei, beantwortete der BGH nicht und verwies den Rechtsstreit zur Sachaufklärung an die Vorinstanz zurück. Da die Vorinstanzen den weitgehenden Auskunftsanspruch zurückgewiesen hatten, könnten sich für Verantwortliche hieraus Ansatzpunkte für die Zurückweisung solcher unverhältnismäßiger Auskunftsansprüche ergeben.

Folgen exzessiver Anträge (Art. 12 Abs. 5 Satz 2 DSGVO)

Unberücksichtigt ließ der BGH in seiner Rechtsprechung Art. 12 Abs. 5 Satz 2 DSGVO. Danach darf der Verantwortliche bei offenkundig unbegründeten Auskunftsverlangen – insbesondere im Fall von häufiger Wiederholung von Auskunftsverlangen – entweder ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. Allerdings hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Im Übrigen lässt der BGH in seinem Urteil Satz 7 des Erwägungsgrunds 63 außer Acht, der das Auskunftsrecht in der Weise beschränkt, dass bei der Verarbeitung einer großen Menge von Informationen über die betroffene Person vom Betroffenen verlangt werden kann, dass er präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich sein Auskunftsersuchen bezieht. Die weitere Rechtsprechung in dieser Frage, insbesondere auch die des EuGH, bleibt deshalb abzuwarten.

Auskunftsrecht

Eine weitere Konfliktlinie ergibt sich aus Art. 15 Abs. 1 lit. c DSGVO. Danach ist Auskunft über die Empfänger oder Kategorien von Empfängern zu erteilen. Unklar ist, ob mit dieser Formulierung ein Wahlrecht des Auskunftspflichtigen gewollt ist. Danach würde genügen, wenn in der Auskunft die Kategorien der Empfänger genannt werden, ohne den einzelnen Empfänger konkret benennen zu müssen. Zu dieser Frage ist bereits ein Verfahren vor dem EuGH (C-154/21) anhängig.

Hinweis

Redaktioneller Hinweis: EuGH, Urteil v. 12.1.2023, C-154/21

Art. 15 Abs. 1 lit. c DSGVO ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass...