Herrschte nach dem Inkrafttreten der DS-GVO im letzten Jahr noch große Unsicherheit, was nun im Umgang mit personenbezogenen Daten beachtet werden muss und wie die Normen der Verordnung auszulegen sind, haben mittlerweile gerichtliche Urteile und Bußgeldentscheidungen in einigen Punkten für mehr Klarheit gesorgt. Das Bewusstsein für den Datenschutz wurde gestärkt und sowohl Unternehmen als auch Betroffene wurden sensibilisiert.

Infokasten: Mehr Informationen zu aktuellen Urteilen und Bußgeldern

Eine Zusammenfassung der neuesten Rechtsprechung und der verhängten Bußgelder können Sie in unserem Artikel „Aktuelle Urteile und Bußgelder“ nachlesen.

Die im Mai 2018 herrschende Hysterie in puncto Datenschutz hat sich zwar nach eineinhalb Jahren DS-GVO gelegt, der Schutz personenbezogener Daten steht aber weiterhin im Fokus und hat keineswegs an Bedeutung verloren. Stattdessen wurde das Bewusstsein für den Datenschutz geschärft und sowohl Unternehmen als auch Betroffene wurden sensibilisiert. Dies hat auch zur Folge, dass immer mehr betroffene Personen, deren Position durch die DS-GVO im Vergleich zum alten Datenschutzrecht erheblich gestärkt wurde, ihre Rechte geltend machen. Zu diesen Rechten gehört unter anderem der Auskunftsanspruch nach Art. 15 DS-GVO, der betroffene Personen berechtigt zu erfragen, ob und wie ihre personenbezogenen Daten von dem jeweiligen Unternehmen verarbeitet werden.

Bedeutung des Auskunftsrechts

Der Auskunftsanspruch wird als „Magna Charta des Datenschutzrechts“ bezeichnet, denn erst durch die Auskunft wird der Betroffene in die Lage versetzt, von einer Verarbeitung der ihn betreffenden Daten Kenntnis zu erhalten und diese auf ihre Rechtmäßigkeit hin zu überprüfen. Das Auskunftsrecht gilt aber nicht nur als das zentrale Betroffenenrecht nach der DS-GVO, sondern es gewinnt auch bei Rechtsstreitigkeiten außerhalb des Datenschutzes immer mehr an Bedeutung, beispielsweise bei Kündigungsschutzklagen oder Prozessen vor dem Finanzgericht. Gestritten wird dabei vor allem um die Fragen, wie weit der Anspruch auf Auskunftserteilung geht, welche Daten Unternehmen an die betroffenen Personen herausgeben müssen und wann die Ausnahmen greifen. Dieser Blogartikel stellt die wichtigsten gerichtlichen Entscheidungen zu diesen Fragestellungen zusammen.

Infokasten: Mehr Informationen zum Auskunftsanspruch

Was genau unter einem Auskunftsanspruch zu verstehen ist, welche Ausnahmen es gibt und was bei der Bearbeitung solcher Anfragen zu beachten ist, können Sie in unserem Datenschutz-ABC nachlesen.

Problemstellung

Grundsätzlich haben betroffene Personen das Recht, eine Bestätigung darüber zu erhalten, ob von ihnen personenbezogene Daten verarbeitet werden, und falls dies der Fall ist, Auskunft über diese Daten und über die Verarbeitung an sich zu erhalten (Art. 15 Abs. 1 DS-GVO). Zudem können sie eine Kopie der betreffenden Daten anfordern (Art. 15 Abs. 3 DS-GVO). Auf den ersten Blick scheint diese Regelung relativ einfach umzusetzen zu sein, Unternehmen müssen kurz gesagt überprüfen, welche Daten sie von dem Betroffenen haben, diese zusammentragen und als Kopie an den Anfragenden übergeben. Es gibt aber in fast jedem Streit Informationen, die Unternehmen der betroffenen Person gerade nicht zur Verfügung stellen wollen. Gerade bei laufenden Kündigungsschutzklagen soll der gekündigte Arbeitnehmer keine internen Informationen erhalten. Je nach Fallgestaltung ergibt sich hier deshalb für Unternehmen das Problem: Was genau sind „betreffende personenbezogene Daten“, das heißt, welche Informationen müssen zwangsweise offengelegt werden, welche Daten gehören nicht dazu und wann können persönliche Informationen zurückgehalten werden?

Gerichte sind sich bei der Beantwortung dieser Fragen größtenteils einig. Die bisher ergangenen Urteile zeigen, dass das Recht auf Auskunft sehr weitreichend und die Ausnahme des Art. 15 Abs. 4 DS-GVO sehr eng zu fassen ist.

Auskunftsrecht überwiegt im Einzelfall Geheimhaltungsvorschriften

Ein Recht auf Auskunft besteht nach Art. 15 Abs. 4 DS-GVO dann nicht, wenn die Rechte oder Freiheiten Dritter betroffen sind, wobei an diese Ausnahmefälle hohe Anforderungen gestellt werden. Dies macht beispielsweise ein Urteil des Landesarbeitsgerichts (LAG) Baden-Württemberg vom 20.12.2018 (Az.: 17 Sa 11/18) deutlich. Im vorliegenden Fall griff ein Arbeitnehmer im Rahmen eines Kündigungsschutzprozesses auf sein Auskunftsrecht nach der DS-GVO zurück, um Einblick in seine Personalakte zu erhalten. Diese enthielt unter anderem auch den Namen des Whistleblowers, also der Person, die jene Informationen lieferte, die zur Abmahnung und schließlich zur Kündigung des Betroffenen führten.

Das LAG entschied, dass Arbeitnehmer einen Anspruch auf Auskunft und Herausgabe ihrer personenbezogenen Leistungs- und Verhaltensdaten haben, das heißt, insbesondere auf eine Kopie ihrer Personalakte. Diesem Recht steht ein bestehender Geheimhaltungsgrundsatz nicht automatisch entgegen. Vielmehr müssen die Interessen des Arbeitnehmers, des Arbeitgebers und der Hinweisgeber im Einzelfall abgewogen werden. Eine solche Interessenabwägung kann mit einem pauschalen Verweis auf die bedingungslos zu schützende Anonymität hinweisgebender Mitarbeiter nicht durchgeführt werden. Falls nach einer ordnungsgemäßen Interessenabwägung das Schutzinteresse des Hinweisgebers tatsächlich überwiegt, darf die Auskunft trotzdem nicht komplett abgelehnt werden. Stattdessen wird das Auskunftsrecht lediglich beschränkt, und zwar so weit wie nötig, um die berechtigten und überwiegenden Interessen des Dritten nicht zu verletzen.

DS-GVO gilt auch in Steuersachen

Die große Reichweite des Auskunftsanspruchs bejahte auch das Finanzgericht (FG) Saarland in seinem Urteil vom 14.06.2019 (Az.: 2 K 1002/16). Hintergrund war die Auflösung und Abwicklung einer GbR. Der Betroffene stritt sich mit seinem Mitgesellschafter über die Berechnung des Veräußerungsgewinns und die Erstellung der Auseinandersetzungsbilanz. Im Rahmen der Außenprüfung für die Jahre 2008 bis 2010 durch das Finanzamt beantragte der Betroffene beim Finanzamt schließlich Akteneinsicht. Das Finanzamt lehnte die Akteneinsicht zunächst ab und berief sich dabei unter anderem auf das Steuergeheimnis.

Das FG gab dem Kläger Recht und bestätigte sein Recht auf Akteneinsicht bzw. Auskunft über die von ihm verarbeiteten personenbezogenen Daten gem. Art. 15 DS-GVO. Zwar regelt die DS-GVO nicht ausdrücklich das Recht auf Akteneinsicht, da in den Akten aber personenbezogene Daten verarbeitet werden, ist die Einsicht im allgemeinen Auskunftsanspruch des Art. 15 DS-GVO aber enthalten. Dies gilt für alle personenbezogenen Daten, die seit dem Inkrafttreten der DS-GVO verarbeitet werden, auch wenn die Verarbeitung bereits vorher begonnen hat. Die Behörde darf sich bei der Gewährung der Akteneinsicht auch nicht auf ihr Ermessen berufen, da sie nur dann einen Ermessensspielraum hat, wenn es an einer entsprechenden Regelung in der DS-GVO fehlt. Der Auskunftsanspruch ist aber mit seinen Ausnahmen in Art. 15 DS-GVO umfassend geregelt. In Bezug auf die Anwendbarkeit der DS-GVO in Steuersachen berief sich das FG auf ein Schreiben der obersten Finanzbehörden des Bundes und der Länder, nachdem die DS-GVO für sämtliche Steuerarten anwendbar sein soll (vgl. BMF-Schreiben vom 12. Januar 2018, BStBl I 2018, 185, Rz. 3 und 22).

Reichweite des Auskunftsanspruchs auch auf Notizen

Zuletzt wurde ein Urteil des Oberlandesgerichts (OLG) Köln vom 26.07.2019 (Az.: 20 U 75/18) veröffentlicht, das die große Reichweite des Auskunftsanspruchs ebenfalls bestätigte. Der Auskunftsanspruch wurde im vorliegenden Fall von einem Betroffenen geltend gemacht, der Klage gegen ein Versicherungsunternehmen eingereicht hatte. Dabei verlangte er explizit auch die Offenlegung von Gesprächsnotizen und Telefonvermerken, die das Versicherungsunternehmen verweigerte. Begründet hat das Unternehmen die Verweigerung der Auskunft damit, dass der Anspruch nach Art. 15 DS-GVO solche Informationen nicht umfasse.

Das OLG widersprach der Ansicht der Beklagten und bestätigte das Auskunftsrecht des Betroffenen. Das Gericht begründete seine Entscheidung damit, dass der Begriff „personenbezogene Daten“ weit zu fassen ist und sich nicht nur auf Identifikationsmerkmale wie Name und Geburtsdatum oder äußere Merkmale wie Geschlecht und Größe bezieht. Vielmehr sind auch innere Zustände wie Wünsche und Wertvorstellungen sowie sachliche Informationen wie Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen umfasst. Personenbezogen sind ebenfalls Aussagen, die subjektive und/oder objektive Einschätzung von Betroffenen zulassen.

Besonders betonte das OLG, dass es „[…] durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten […] keine belanglosen Daten mehr [gibt]“.

Ausnahme: Fehlende Identifikation des Betroffenen

Während die genannten Urteile Verantwortliche in Bezug auf die Herausgabe der personenbezogenen Daten an Betroffene eher belastet und die Reichweite des Anspruchs kaum beschränken, erlegt das Amtsgericht (AG) Berlin-Mitte mit seinem Urteil vom 29.07.2019 (Az.: 7 C 185/18) Betroffenen bei der Geltendmachung ihrer Ansprüche ebenfalls Pflichten auf. Im vorliegenden Fall klagte ein Rechtsanwalt, der für seinen Mandanten als Betroffenen das Auskunftsersuchen eingereicht hatte, gegen das betreffende Unternehmen, da die Auskunft nicht fristgemäß erteilt wurde. Art. 12 Abs. 3 S. 1 DS-GVO besagt, dass die Informationen dem Betroffenen spätestens nach Ablauf eines Monats nach Eingang des Antrags zur Verfügung gestellt werden müssen. Verantwortliche Stellen müssen bzw. dürfen allerdings keine personenbezogenen Daten herausgeben, wenn sie die betroffene Person nicht eindeutig identifizieren können (Art. 12 Abs. 2 S. 2 DS-GVO).

Auf diese Ausnahme stützte sich das beklagte Unternehmen, denn der Rechtsanwalt legte trotz Aufforderung zunächst keine Originalvollmacht vor, sondern lediglich eine Kopie. Das AG gab dem Beklagten recht und entschied, dass die Frist zur Abarbeitung der Anfrage erst mit Vorlegen der Originalvollmacht beginne, denn ohne diese ist eine eindeutige Identifizierung des Betroffenen und des Rechtsanwalts als seinem Vertreter nicht möglich. Unternehmen sind verpflichtet, vor Erteilen der Auskunft die Identität des Betroffenen eindeutig zu bestimmen. Liefern betroffene Personen nicht ausreichend Daten, damit das Unternehmen seiner Pflicht nachkommen kann, darf es die Auskunft nicht erteilen.

Dokumentierter Prozess der Bearbeitung essenziell

Zusammenfassend lässt sich sagen, dass die Reichweite des Auskunftsanspruchs nach der aktuellen Rechtsprechung alle Informationen umfasst, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – von den Kontaktdaten bis zum Notizzettel. In der Praxis heißt das auch, Unternehmen müssen intern Prozesse und Strukturen schaffen, um Betroffenenrechte erfüllen zu können. Es muss gewährleistet sein, dass die Daten vollständig zusammengetragen werden und als Kopie zur Verfügung gestellt, das heißt, zum Beispiel auch aus Tools exportiert werden können. Zusätzlich muss die Bearbeitung von Auskunftsersuchen – wie auch der übrigen Betroffenenrechte – vollständig dokumentiert werden, um die Plichten der DS-GVO zu erfüllen.

Infokasten: Mehr Informationen zu Betroffenenrechten

Ausführlichere Informationen zu Betroffenenrechten und deren ordnungsgemäßer Bearbeitung finden Sie in unserem Artikel „Auskunft, Löschung, Widerruf, Widerspruch – Betroffenenrechte richtig erfüllen“.