MINISERIE ÜBER DEN PRAKTISCHEN UMGANG MIT DEM RECHT AUF AUSKUNFT – TEIL 2

Reichweite der Auskunft nach Art. 15 DSGVO

Der Fokus in Teil 1 unserer Miniserie lag auf der Identifizierung der betroffenen Person, die ein Auskunftsverlangen nach Art. 15 DSGVO geltend macht, und auf der damit verbundenen Verantwortung der Unternehmen.Das Hauptaugenmerk in diesem Beitrag liegt auf der Reichweite der Auskunft und des Rechts auf Kopie gem. Art. 15 DSGVO.Nach Art. 15 DSGVO gestaltet sich das Auskunftsrecht zweistufig.

Stufe 1

Die Basis des Auskunftsanspruchs bildet das Recht zu erfahren, ob ein Unternehmen oder eine öffentliche Stelle überhaupt Daten der betroffenen Person verarbeitet.

Ist dies nicht der Fall, hat der Verantwortliche dem Antragsteller eine Negativauskunft zu erteilen (Art. 15 Abs. 1, 1. Halbsatz DSGVO). Um belegen zu können, dass dem Auskunftsantrag stattgegeben wurde, sollte die Negativauskunft drei Jahre nach der Auskunftserteilung aufbewahrt werden. 

Stufe 2

Liegt eine Verarbeitung vor, hat die betroffene Person Anspruch auf Auskunft über die personenbezogenen Daten, die verarbeitet werden sowie weitere Informationen gemäß Art. 15 Abs. 1, 2. Halbsatz DSGVO.

 Der Antrag kann für beide Stufen gleichzeitig gestellt werden. Bezieht sich ein Auskunftsersuchen nur auf die zweite Stufe, ist dies dahingehend auszulegen, dass der Antrag auch für die erste Stufe gestellt wird.  

Zusätzliche Informationen (Art. 15 Abs. 1, lit. a – h DSGVO), die mitgeteilt werden müssen:

  • Verarbeitungszwecke
    Sie ermöglichen eine Überprüfung der Zweckbindung.
  • Kategorien personenbezogener Daten
    Die Auskunft darf sich nicht auf abstrakte Kategorien (Name, Anschrift etc.) beschränken, sondern muss den konkreten Inhalt jeder Kategorie nennen (z.B.: Max Müller, Äußere Sulzbacher Str. 2, 90491 Nürnberg). Nur so kann die betroffene Person prüfen, ob die Daten richtig sind und ob die Auskunft vollständig ist.
  • Empfänger der Daten
    Laut überwiegender Meinung kann der Verantwortliche zwischen Empfängern und Kategorien von Empfängern wählen. Er kann sich auf die Angaben von Kategorien beschränken. Aus Gründen der Transparenz sollte jedoch der Empfänger konkret benannt werden. [1]
  • Speicherdauer
    Der Verantwortliche hat über die geplante Dauer der Speicherung der personenbezogenen Daten oder über die Kriterien der Festlegung der Speicherdauer zu informieren.
  • Betroffenenrechte
    Der Verantwortliche hat der betroffenen Person Auskunft über folgende Rechte zu erteilen: Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung.
  • Beschwerderecht
    Darüber hinaus ist die betroffene Person über ihr Beschwerderecht bei einer Aufsichtsbehörde zu informieren.
  • Herkunft der Daten
    Soweit die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, ist Auskunft über deren Herkunft zu erteilen.
  • Automatisierte Entscheidungsfindung
    Für den Fall, dass eine automatisierte Entscheidungsfindung stattfindet, ist die betroffene Person über das Bestehen der automatisierten Entscheidungsfindung und deren Folgen in Kenntnis zu setzen.

Recht auf Kopie

In Art. 15 Abs. 3 S. 1 DSGVO wird die Pflicht zur Auskunft durch das Recht auf Kopie weiter konkretisiert. Der betroffenen Person ist „eine Kopie der Daten, die Gegenstand der Verarbeitung sind, zur Verfügung“ zu stellen, damit diese die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen kann (Erwägungsgrund 63 DSGVO).

Die Reichweite dieses Rechts auf Kopie ist heftig umstritten. Dabei wird sowohl eine einschränkende als auch eine extensive Auslegung vertreten. So hat das Bundesarbeitsgericht (BAG) die Klage eines Arbeitnehmers gegen seinen ehemaligen Arbeitgeber auf Überlassung einer Kopie sämtlicher E-Mails, in denen sein Name auftaucht, abgelehnt (BAG, Urteil v. 27.04.2021, Az. 2 AZR 342/20). Der Klageantrag sei zu unbestimmt. Das BAG hat damit ausdrücklich festgestellt, dass sich der Auskunftsanspruch eines Arbeitnehmers nicht auf eine unbestimmte Anzahl von E-Mails beziehen kann. Vielmehr müsse der Arbeitnehmer die Unterlagen näher bestimmen. Die Frage der Reichweite des Anspruches – ob bzw. inwieweit Arbeitgeber verpflichtet sind, gekündigten Arbeitnehmern Kopien des E-Mail-Verkehrs herauszugeben – hat das BAG dennoch nicht geklärt.

Von Seiten der Aufsichtsbehörden ist noch keine einheitliche Linie erkennbar. Das Bayerische Landesamt für Datenschutzaufsicht legt den Anspruch auf Kopien eher restriktiv aus. Entscheidend sei, dass keine Daten fehlen. „Kopie“ bedeute in diesem Zusammenhang nicht, dass eine „Fotokopie“ zur Verfügung gestellt werden müsse. Vielmehr müssten alle vorhandenen personenbezogenen Daten entsprechend ihrem Inhalt herausgegeben werden. Demgegenüber legt die Landesdatenschutzbehörde Baden-Württemberg das Auskunftsersuchen relativ weit aus. So könne ein Mitarbeiter Dokumente oder E-Mails vorlegen lassen, solange das Auskunftsbegehren hinreichend konkret erfolgt.

Der Bundesgerichtshof (BGH) hat nun in einem aktuellen Urteil vom 15.06.2021 (Az. VI ZR 576/19) zur Reichweite des Auskunftsanspruchs nach Art. 15 DSGVO Stellung bezogen. Der BGH stellt fest, dass Verantwortliche verpflichtet sind, umfassende Unterlagen herauszugeben, soweit darin personenbezogene Daten des Antragstellers enthalten sind. Darunter würde auch die Korrespondenz zwischen der betroffenen Person und dem Verantwortlichen fallen, unabhängig davon, ob die betroffene Person diese Schreiben sogar selbst erstellt hat oder deren Inhalt kennt. Darüber hinaus sei auch Auskunft über interne Vermerke und interne Kommunikation des Verantwortlichen sowie über Schreiben an Dritte zu erteilen. Eine Ausnahme von der Pflicht der Auskunftserteilung sieht der BGH bei rechtlichen Bewertungen, weil eine (auf Grundlage von personenbezogenen Daten vorgenommene) Analyse der Rechtslage selbst keine personenbezogenen Daten der betroffenen Person mehr enthält.

Fazit

In Anbetracht der extensiven Auslegung des BGH bleibt abzuwarten, ob in der Praxis für die Verantwortlichen mit einem erheblichen Mehraufwand zu rechnen sein wird. Unternehmen sollten Vorkehrungen treffen, um Auskunftsersuchen vollständig und innerhalb der gesetzlichen Monatsfrist beantworten zu können. Lesen Sie in Teil 3 unserer Miniserie über die Formerfordernisse und Fristen, die beim Eingang eines Auskunftsersuchens zu beachten sind und welche Folgen bei Verstößen gegen die Auskunftspflicht nach Art. 15 DSGVO eintreten können.

[1] Der Oberste Gerichtshof Österreichs (OGH) hat am 18.2.2021 den EuGH zu der Frage angerufen, ob tatsächlich ein Wahlrecht besteht oder die Auskunft über Empfängerkategorien nur dann zulässig ist, wenn konkrete Empfänger im Anfragezeitpunkt noch nicht feststehen (6 Ob 159/20f).