Das Inkrafttreten der DS-GVO hat nicht nur Unternehmen im Hinblick auf den Datenschutz sensibilisiert. Auch immer mehr Betroffene werden sich ihrer Rechte beim Umgang mit ihren persönlichen Informationen durch Unternehmen bewusst. Immer häufiger geltend gemacht wird das Recht auf Auskunft nach Art. 15 DS-GVO. Der Auskunftsanspruch gehört zu den zentralen Rechten von betroffenen Personen und ist bei Unternehmen in der Regel mit einigem Arbeitsaufwand verbunden. Berichte und Veröffentlichungen der Aufsichtsbehörden zeigen, dass die Zahl an Beschwerden von Betroffenen wegen vermeintlich nicht ordentlich erfüllter Auskunftsersuchen stark zunimmt. Bei der Landesbeauftragten für den Datenschutz Niedersachsen sind beispielsweise im Jahr 2020 insgesamt 700 solcher Beschwerden mehr eingegangen als im Vorjahr – insgesamt rund 2500. Nicht selten landen Streitigkeiten um die Erfüllung des Auskunftsrechts auch vor Gericht, wobei regelmäßig nur die Gerichte erster Instanz zuständig sind.
Was ist der Auskunftsanspruch?
Die Datenschutzgrundverordnung (DS-GVO) gibt mit Art. 15 DS-GVO jeder Person ein Recht darauf zu erfahren, wer welche personenbezogenen Daten über sie gespeichert hat und was bei der datenverarbeitenden Stelle mit diesen Informationen geschieht. Zwar ist das Auskunftsrecht nicht neu, so enthielt bereits die alte Fassung des § 34 BDSG (bis zum 24.05.2018) ein Auskunftsrecht für Betroffene, jedoch gehen die Anforderungen der DS-GVO inhaltlich weit über die des damaligen BDSG hinaus.
Ziel und Zweck des Auskunftsanspruchs ist es zu gewährleisten, dass Betroffene Kenntnis von der Verarbeitung ihrer personenbezogenen Daten erhalten und somit auch die Rechtmäßigkeit der Verarbeitung überprüfen sowie ggf. weitere Rechte geltend machen können. Der Auskunftsanspruch liefert betroffenen Personen die Basis, um ihre anderen Betroffenenrechte auf Berichtigung, Sperrung und Löschung sowie das Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten durchzusetzen.
Reichweite und Grenzen des Auskunftsanspruchs
Das Auskunftsrecht stellt einen elementaren Bestandteil der datenschutzrechtlichen Betroffenenrechte dar, gehört jedoch gleichzeitig zu den größten Herausforderungen für Verantwortliche. Bis heute ist immer noch strittig, wie weit der Auskunftsanspruch und das Recht auf Kopie reichen, da trotz der ergangenen Urteile noch viele Detailfragen ungeklärt sind. Kann ein Betroffener z. B. verlangen, dass alle über ihn gespeicherten Daten ihm auch zur Verfügung gestellt werden, vielleicht sogar noch als kostenlose Kopie? Zwar würde dies sicherlich den Betroffenen zufriedenstellen, wäre für den Verantwortlichen jedoch mit enormem Aufwand und Kosten verbunden. Ganz zu schweigen von den Geschäftsgeheimnissen, die es zu schützen gilt. Hinzu kommt die Frage, was genau eigentlich unter einer „Kopie“ zu verstehen ist.
Da die umfangreiche Erteilung einer Auskunft an den Betroffenen inklusive Bereitstellen einer Kopie sämtlicher gespeicherter personenbezogener Daten einen enormen Aufwand verursacht, wird der Auskunftsanspruch auch als prozesstaktisches Mittel eingesetzt. Diese zusätzliche Belastung – insbesondere während eines laufenden Gerichtsverfahrens – kann durchaus auch Einfluss auf den Prozess haben. So kann es beispielsweise vorkommen, dass sich Beklagte dadurch eher auf einen ungünstigen Vergleich einlassen oder andere Nachteile in Kauf nehmen. Darüber hinaus wird insbesondere bei arbeitsrechtlichen Streitigkeiten versucht, durch die Auskunft an Informationen zu gelangen, die vor Gericht als Beweis die eigene Seite stützen.
Welche Ausmaße die Durchsetzung eines Auskunftsanspruchs annehmen kann, zeigt der folgende skurrile Fall, bei dem sich die Gerichte gleich vier Mal mit einem Auskunftsersuchen beschäftigen mussten. Bemerkenswert dabei ist, dass es in keiner der vier Entscheidungen um inhaltliche Fragen zur begehrten Datenauskunft geht, sondern das Unternehmen den Anspruch nach Art. 15 DS-GVO vor Gericht anerkannte und anschließend um den Streitwert und die Höhe eines Zwangsgelds für die unvollständige Datenauskunft stritt. Sämtliche Verfahrenskosten hatte das Unternehmen zu tragen.
Der Fall
Bei dem Kläger handelte es sich um eine Privatperson, bei der Beklagten um eine Aktiengesellschaft (AG). Der Kläger machte sein Auskunftsrecht nach Art. 15 DS-GVO geltend und verlangte von der Beklagten Auskunft über seine personenbezogenen Daten, die in ihrem Unternehmen verarbeitet werden. Nachdem das Unternehmen das Auskunftsrecht nur unvollständig erfüllte und einige Inhalte offensichtlich falsch waren, landete der Fall vor dem Amtsgericht (AG) Wertheim. Dort endete das Klageverfahren mit einem sogenannten Anerkenntnisurteil (AG Wertheim, Beschluss v. 27.05.2019, Az.: 1 C 66/19).
Die Gesellschaft wurde dementsprechend verurteilt, dem Auskunftsersuchen vollständig nachzukommen und dem Kläger die gewünschte Auskunft i. S. d. Art. 15 Abs. 1 DS-GVO über seine personenbezogenen Daten zu erteilen. Zudem musste sie die außergerichtlichen Anwaltskosten des Klägers, die bereits vor der Klage angefallen waren und durch die nicht fristgerechte Erfüllung des Auskunftsersuchens (Verzug) verursacht wurden, sowie die Prozesskosten übernehmen. Ausgehend von dem gerichtlich festgesetzten Streitwert in Höhe von 4000 Euro beliefen sich die außergerichtlichen Anwaltskosten auf 413,64 Euro zzgl. (Verzugs-)Zinsen und die Gesamtprozesskosten auf 1928 Euro. Im Normalfall wäre der Rechtsstreit damit beendet, die Beklagte würde die Kosten übernehmen und dem Kläger Auskunft über seine personenbezogenen Daten geben. In diesem besonderen Fall war dem allerdings nicht so, vielmehr traten im weiteren Verlauf gleich mehrere Probleme auf.
Streit um den Streitwert
Die Beklagte hatte den Auskunftsanspruch des Klägers zwar anerkannt, war jedoch nicht mit dem festgelegten Streitwert einverstanden. Sie hielt einen niedrigeren Betrag für angemessen und reichte deshalb Beschwerde dagegen ein.
Der Fall landete sodann vor dem Landgericht (LG) Mosbach, das als nächsthöhere Instanz über die Beschwerde zu entscheiden hatte. Das Gericht stimmte der beklagten Aktiengesellschaft zu und reduzierte den Streitwert auf 2500 Euro (LG Mosbach, Beschluss v. 16.08.2019, Az.: 5 T 49/19). Infolgedessen verringerten sich für die Beklagte auch die zu zahlenden Anwalts- und Prozesskosten auf 334,75 Euro bzw. 1567,56 Euro.
Trotz der deutlichen Reduzierung ist die Höhe des Streitwerts in diesem Fall äußerst bemerkenswert, da bei einem datenschutzrechtlichen Auskunftsanspruch in der Regel ein Streitwert von 500 Euro als angemessen und ausreichend angesehen wird (vgl. OLG Köln, Beschluss v. 05.02.2018, Az.: 9 U 120/17). Das LG Mosbach jedoch begründet die 2500 Euro Streitwert mit der vorliegend hohen wirtschaftlichen Bedeutung der Auskunft. Diese rührt von der Zusammenarbeit der Beklagten mit einem Inkassobüro her, welche gemeinsam Geldansprüche gegen den Kläger geltend gemacht hatten. Zwar stellte das AG Wertheim bereits fest, dass diese Ansprüche überhaupt nicht bestehen, trotzdem sah das LG Mosbach hier eine wirtschaftliche Besonderheit und legte daher den vergleichsweise hohen Streitwert von 2500 Euro fest.
Zwangsgeld wegen unvollständiger Auskunftserteilung
Mit der Reduzierung des Streitwerts war der Fall allerdings noch immer nicht beendet, sondern es kam zu einem erneuten Prozess wegen der unvollständigen Auskunftserteilung durch die beklagte Aktiengesellschaft. Die Verpflichtung zur Information über die Herkunft der Daten (Art. 15 Abs. 1 lit. g) DS-GVO) wurde von der Beklagten nicht erfüllt, woraufhin der Kläger beim AG Wertheim die Festsetzung eines sog. Zwangsgeldes beantragte. Das Gericht kam dem Antrag nach und verhängte gegen die Gesellschaft ein Zwangsgeld in Höhe von 15.000 Euro bzw. ersatzweise für je 500 Euro einen Tag Zwangshaft (AG Wertheim, Beschluss v. 12.12.2019, Az.: 1 C 66/19).
Dem AG Wertheim war bei der Festsetzung des Zwangsgeldes allerdings ein Fehler unterlaufen, da eine Formulierung bei der Begründung zu dessen Höhe ungenau war und den Eindruck erweckte, die Beklagte habe überhaupt keine Auskunft erteilt. Dies traf jedoch nicht zu, denn mit Ausnahme der Information über die Herkunft der Daten wurde die Auskunft gemäß dem Anerkenntnisurteil vollständig erteilt. Aus diesem Grund legte die Aktiengesellschaft wieder Beschwerde, diesmal gegen die Festsetzung des Zwangsgeldes, ein und der Fall landete zum zweiten Mal vor dem LG Mosbach. Wie bereits bei dem Streit um den Streitwert entschied das LG Mosbach auch hier zugunsten der Beklagten und reduzierte das Zwangsgeld auf 2500 Euro (LG Mosbach, Beschluss v. 27.01.2020, Az.: 5 T 4/20). Diesen insgesamt vierten Prozess hätte die beklagte Gesellschaft allerdings vermeiden können, wenn sie die geforderte Auskunft über die Herkunft der Daten des Klägers zumindest nach der Festsetzung des ursprünglichen Zwangsgeldes erteilt hätte. Damit wäre die Verpflichtung aus dem ersten Anerkenntnisurteil erfüllt gewesen und das Zwangsgeld hätte nicht vollstreckt werden können.
Fazit
Da der Auskunftsanspruch nach der DS-GVO zwar umfangreicher ist als nach dem BDSG a. F., aber nicht neu, sollte mittlerweile eigentlich jede datenverarbeitende Stelle in der Lage sein, Auskunftsersuchen fristgerecht zu erfüllen. Dieser Fall zeigt jedoch eindrucksvoll, wie ein vermeintlich leicht zu bearbeitender Auskunftsanspruch langwierige Streitigkeiten auslösen und mehrere Gerichte beschäftigen kann. Das Bestehen des Anspruchs an sich hat im Rahmen der Verhandlungen keine der Parteien angezweifelt, auch die beklagte Aktiengesellschaft nicht. Die vier Gerichtsprozesse hätten vermieden werden können, wenn die Gesellschaft die Auskunft fristgerecht und vollständig erteilt hätte oder zumindest der Verpflichtung aus dem Anerkenntnisurteil nachgekommen wäre. Schlussendlich wurde der Fall zum Pingpongspiel zwischen dem AG Wertheim und dem LG Mosbach, das sich gut sieben Monate in die Länge zog. Dem Unternehmen haben die Prozesse einen erheblichen Zeit- und Geldaufwand verursacht und dabei die Auskunftserteilung lediglich verzögert.
Damit datenverarbeitende Stellen Auskunftsersuchen und die übrigen Betroffenenrechte nach der DS-GVO vollständig und innerhalb der gesetzlichen Ein-Monatsfrist erfüllen können, ist eine ausführliche Dokumentation aller Verarbeitungstätigkeiten sowie ein detaillierter, fester Prozess zur Bearbeitung von Betroffenenanfragen unerlässlich. Anderenfalls verursacht insbesondere die Auskunftserteilung einen erheblichen Aufwand oder ist im Einzelfall gar nicht möglich, wenn Datenflüsse nicht nachvollzogen werden können oder einzelne Informationen wie die Quelle gespeicherter personenbezogener Daten nicht dokumentiert wurden bzw. fehlen. Eine falsche, unvollständige oder nicht fristgerechte Auskunft kann nicht nur eine zivilrechtliche Klage nach sich ziehen, um die Erfüllung des Anspruchs durchzusetzen. Daneben können nicht ordnungsgemäß erfüllte Auskunftsersuchen im Falle einer Beschwerde des Betroffenen auch Ermittlungen der Aufsichtsbehörde, datenschutzrechtliche Bußgelder sowie Schadensersatzansprüche seitens der betroffenen Person zur Folge haben. Eine einzelne Betroffenenanfrage kann dadurch unter Umständen für Unternehmen und andere verantwortliche Stellen richtig teuer werden, wenn diese ihre Hausaufgaben aus der DS-GVO nicht gemacht haben.