08 Aug
2019

Umfang des Auskunftsanspruchs nach Art. 15 DS-GVO

Wie bereits das Bundesdatenschutzgesetz in der Fassung bis zum 25.05.2018 sieht auch die DS-GVO in Art. 15 Abs. 1 DS-GVO das Recht für jeden Betroffenen vor, von einem Dritten Auskunft darüber zu verlangen, ob und welche personenbezogenen Daten dieser von einem selbst gespeichert hat. In Bezug auf die Anforderungen und den Inhalt der Auskunft gehen die Bestimmungen der DS-GVO jedoch über die vorher geltenden Bestimmungen des BDSG-alt hinaus.

Umfang der Auskunft

Gemäß Art. 15 Abs. 1 DS-GVO kann der Anfragende als betroffene Person zunächst eine Bestätigung darüber verlangen, ob durch den Verantwortlichen personenbezogene Daten des Anfragenden verarbeitet werden. Bei der Auskunftserteilung ist dabei zu beachten, dass auch eine Negativauskunft zu erteilen ist, wenn der Verantwortliche entweder keine Daten zu dieser Person verarbeitet oder personenbezogene Daten unumkehrbar anonymisiert hat.

Zudem kann die betroffene Person auch ganz konkrete Auskunft darüber verlangen, welche personenbezogenen Daten im Einzelnen vom Verantwortlichen verarbeitet werden.

Teilurteil des Landgerichts Köln vom 18.03.2019

Das Landgericht Köln hatte darüber zu befinden, in welchem Umfang durch den Verantwortlichen tatsächlich Auskunft zu erteilen ist. Die Parteien stritten darüber, ob die Beklagte in ausreichendem Maße Auskunft über die bei ihr von der Klägerin gespeicherten personenbezogenen Daten erteilt hat. Die Klägerin vertrat dabei die Rechtsauffassung, dass die Beklagte verpflichtet sei, sämtliche gespeicherte Informationen im Rahmen der Auskunftserteilung herauszugeben habe.

Mit Teilurteil vom 18.03.2019, Aktenzeichen 26 O 25/18 entschied das Landgericht Köln, dass das Auskunftsrecht des Art. 15 Abs. 1 DS-GVO jegliche Merkmale umfasst, die die Identifizierbarkeit einer Person ermöglichen. Davon umfasst sind also neben Namen, Anschrift, Telefonnummer, E-Mail-Adresse auch Gesundheitsdaten, Kontoverbindung und Ähnliches. Auch ärztliche Unterlagen, Gutachten oder sonstige vergleichbare Mitteilungen anderer Quellen stellen ebenfalls „personenbezogene Daten“ dar (Erwägungsgrund 63 zur DS-GVO).

Der Auskunftsanspruch erstreckt sich nach zutreffender Rechtsauffassung des Gerichts aber nicht auf sämtliche interne Vorgänge der Beklagten, wie zum Beispiel verfasste Vermerke oder rechtliche Bewertungen und Analysen. Zur Auskunftserteilung gehört ebenfalls nicht, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhält. Der Anspruch aus Art. 15DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und den Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Art. 15 Abs. 3 DS-GVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält. Die Übersendung weiterer Unterlagen ist dagegen nicht vorgesehen und kann daher vom Betroffenen auch nicht verlangt werden.

Weitere Informationspflichten

Zu beachten ist, dass neben der Auskunft über die personenbezogenen Daten selbst vom Verantwortlichen noch weitere Informationen im Rahmen einer vollständigen Auskunft der betroffenen Person mitzuteilen sind.

Nach Art. 15 Abs. 1 DS-GVO sind folgende Informationen ebenfalls mitzuteilen:

  • Verarbeitungszwecke,
  • Kategorien personenbezogener Daten, die verarbeitet werden,
  • Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig noch erhalten werden,
  • geplante Speicherdauer falls möglich, andernfalls die Kriterien für die Festlegung der Speicherdauer,
  • Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen,
  • Bestehen eines Widerspruchsrecht gegen diese Verarbeitung nach Art. 21 DS-GVO,
  • Bestehen eines Beschwerderechts für die betroffene Person bei der Aufsichtsbehörde,
  • Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst erhoben wurden, und
  • das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren.

Im Falle der Datenübermittlung in Drittländer ist über die insoweit gegebenen Garantien gemäß Art. 46 DS-GVO zu informieren (z. B. vereinbarte Standard-Datenschutzklauseln, verbindliche interne Datenschutzvorschriften, d. h. BCR). Keine Drittländer sind die EU-Mitgliedsstaaten und die Vertragsstaaten des EWR.

Es ist daher darauf zu achten, dass der betroffenen Person eine umfassende und vollständige Auskunft erteilt wird, die neben den gespeicherten und verarbeiteten personenbezogenen Daten in jedem Fall auch die weiteren Informationen enthalten muss. Dabei hat die Auskunft gemäß Art. 12 Abs. 1 GS-GVO leicht verständlich in klaren und einfachen Worten zu erfolgen.

Rechtsanwältin Kathleen Brauner

dmp@derra-dd.de

Stand: 08/2019