Wichtige Urteile zum Auskunftsanspruch nach Art. 15 DS-GVO

Stand: 17.11.2023

Herrschte in den Jahren nach dem Inkrafttreten der DS-GVO noch große Unsicherheit, was nun im Umgang mit personenbezogenen Daten beachtet werden muss und wie die Normen der Verordnung auszulegen sind, haben mittlerweile gerichtliche Urteile und Bußgeldentscheidungen in einigen Punkten für mehr Klarheit gesorgt. Das Bewusstsein für den Datenschutz wurde gestärkt und sowohl Unternehmen als auch Betroffene wurden sensibilisiert.

Die im Mai 2018 herrschende Hysterie in puncto Datenschutz hat sich zwar zwischenzeitlich gelegt, der Schutz personenbezogener Daten steht aber weiterhin im Fokus und hat keineswegs an Bedeutung verloren. Stattdessen wurde das Bewusstsein für den Datenschutz geschärft und sowohl Unternehmen als auch Betroffene wurden sensibilisiert. Dies hat auch zur Folge, dass immer mehr betroffene Personen, deren Position durch die DS-GVO im Vergleich zum alten Datenschutzrecht erheblich gestärkt wurde, ihre Rechte geltend machen. Zu diesen Rechten gehört unter anderem der Auskunftsanspruch nach Art. 15 DS-GVO, der betroffene Personen berechtigt zu erfragen, ob und wie ihre personenbezogenen Daten von dem jeweiligen Unternehmen verarbeitet werden.

Bedeutung des Auskunftsrechts

Der Auskunftsanspruch wird als „Magna Charta des Datenschutzrechts“ bezeichnet, denn erst durch die Auskunft wird der Betroffene in die Lage versetzt, von einer Verarbeitung der ihn betreffenden Daten Kenntnis zu erhalten und diese auf ihre Rechtmäßigkeit hin zu überprüfen. Das Auskunftsrecht gilt aber nicht nur als das zentrale Betroffenenrecht nach der DS-GVO, sondern es gewinnt auch bei Rechtsstreitigkeiten außerhalb des Datenschutzes immer mehr an Bedeutung, beispielsweise bei Kündigungsschutzklagen oder Prozessen vor dem Finanzgericht. Gestritten wird dabei vor allem um die Fragen, wie weit der Anspruch auf Auskunftserteilung geht, welche Daten Unternehmen an die betroffenen Personen herausgeben müssen und wann die Ausnahmen greifen. Dieser Blogartikel stellt die wichtigsten gerichtlichen Entscheidungen zu diesen Fragestellungen zusammen.

Problemstellung

Grundsätzlich haben betroffene Personen das Recht, eine Bestätigung darüber zu erhalten, ob von ihnen personenbezogene Daten verarbeitet werden, und falls dies der Fall ist, Auskunft über diese Daten und über die Verarbeitung an sich zu erhalten (Art. 15 Abs. 1 DS-GVO). Zudem können sie eine Kopie der betreffenden Daten anfordern (Art. 15 Abs. 3 DS-GVO).

Auf den ersten Blick scheint diese Regelung relativ einfach umzusetzen zu sein, Unternehmen müssen kurz gesagt überprüfen, welche Daten sie von dem Betroffenen haben, diese zusammentragen und als Kopie an den Anfragenden übergeben. Es gibt aber in fast jedem Streit Informationen, die Unternehmen der betroffenen Person gerade nicht zur Verfügung stellen wollen. Gerade bei laufenden Kündigungsschutzklagen soll der gekündigte Arbeitnehmer keine internen Informationen erhalten. Je nach Fallgestaltung ergibt sich hier deshalb für Unternehmen das Problem: Was genau sind „betreffende personenbezogene Daten“, das heißt, welche Informationen müssen zwangsweise offengelegt werden, welche Daten gehören nicht dazu und wann können persönliche Informationen zurückgehalten werden?

Gerichte sind sich bei der Beantwortung dieser Fragen größtenteils einig. Die bisher ergangenen Urteile zeigen, dass das Recht auf Auskunft sehr weitreichend und die Ausnahme des Art. 15 Abs. 4 DS-GVO sehr eng zu fassen ist.

Auskunftsrecht überwiegt im Einzelfall Geheimhaltungsvorschriften

Ein Recht auf Auskunft besteht nach Art. 15 Abs. 4 DS-GVO dann nicht, wenn die Rechte oder Freiheiten Dritter betroffen sind, wobei an diese Ausnahmefälle hohe Anforderungen gestellt werden. Dies macht beispielsweise ein Urteil des Landesarbeitsgerichts (LAG) Baden-Württemberg vom 20.12.2018 (Az.: 17 Sa 11/18) deutlich. Im vorliegenden Fall griff ein Arbeitnehmer im Rahmen eines Kündigungsschutzprozesses auf sein Auskunftsrecht nach der DS-GVO zurück, um Einblick in seine Personalakte zu erhalten. Diese enthielt unter anderem auch den Namen des Whistleblowers, also der Person, die jene Informationen lieferte, die zur Abmahnung und schließlich zur Kündigung des Betroffenen führten.

Das LAG entschied, dass Arbeitnehmer einen Anspruch auf Auskunft und Herausgabe ihrer personenbezogenen Leistungs- und Verhaltensdaten haben, das heißt, insbesondere auf eine Kopie ihrer Personalakte. Diesem Recht steht ein bestehender Geheimhaltungsgrundsatz nicht automatisch entgegen. Vielmehr müssen die Interessen des Arbeitnehmers, des Arbeitgebers und der Hinweisgeber im Einzelfall abgewogen werden. Eine solche Interessenabwägung kann mit einem pauschalen Verweis auf die bedingungslos zu schützende Anonymität hinweisgebender Mitarbeiter nicht durchgeführt werden. Falls nach einer ordnungsgemäßen Interessenabwägung das Schutzinteresse des Hinweisgebers tatsächlich überwiegt, darf die Auskunft trotzdem nicht komplett abgelehnt werden. Stattdessen wird das Auskunftsrecht lediglich beschränkt, und zwar so weit wie nötig, um die berechtigten und überwiegenden Interessen des Dritten nicht zu verletzen.

DS-GVO gilt auch in Steuersachen

Die große Reichweite des Auskunftsanspruchs bejahte auch das Finanzgericht (FG) Saarland in seinem Urteil vom 14.06.2019 (Az.: 2 K 1002/16). Hintergrund war die Auflösung und Abwicklung einer GbR. Der Betroffene stritt sich mit seinem Mitgesellschafter über die Berechnung des Veräußerungsgewinns und die Erstellung der Auseinandersetzungsbilanz. Im Rahmen der Außenprüfung für die Jahre 2008 bis 2010 durch das Finanzamt beantragte der Betroffene beim Finanzamt schließlich Akteneinsicht. Das Finanzamt lehnte die Akteneinsicht zunächst ab und berief sich dabei unter anderem auf das Steuergeheimnis.

Das FG gab dem Kläger Recht und bestätigte sein Recht auf Akteneinsicht bzw. Auskunft über die von ihm verarbeiteten personenbezogenen Daten gem. Art. 15 DS-GVO. Zwar regelt die DS-GVO nicht ausdrücklich das Recht auf Akteneinsicht, da in den Akten aber personenbezogene Daten verarbeitet werden, ist die Einsicht im allgemeinen Auskunftsanspruch des Art. 15 DS-GVO aber enthalten. Dies gilt für alle personenbezogenen Daten, die seit dem Inkrafttreten der DS-GVO verarbeitet werden, auch wenn die Verarbeitung bereits vorher begonnen hat. Die Behörde darf sich bei der Gewährung der Akteneinsicht auch nicht auf ihr Ermessen berufen, da sie nur dann einen Ermessensspielraum hat, wenn es an einer entsprechenden Regelung in der DS-GVO fehlt. Der Auskunftsanspruch ist aber mit seinen Ausnahmen in Art. 15 DS-GVO umfassend geregelt. In Bezug auf die Anwendbarkeit der DS-GVO in Steuersachen berief sich das FG auf ein Schreiben der obersten Finanzbehörden des Bundes und der Länder, nachdem die DS-GVO für sämtliche Steuerarten anwendbar sein soll (vgl. BMF-Schreiben vom 12. Januar 2018, BStBl I 2018, 185, Rz. 3 und 22).

Reichweite des Auskunftsanspruchs auch auf Notizen

Ein Urteil des Oberlandesgerichts (OLG) Köln vom 26.07.2019 (Az.: 20 U 75/18) bestätigt ebenfalls die große Reichweite des Auskunftsanspruchs. Der Auskunftsanspruch wurde im vorliegenden Fall von einem Betroffenen geltend gemacht, der Klage gegen ein Versicherungsunternehmen eingereicht hatte. Dabei verlangte er explizit auch die Offenlegung von Gesprächsnotizen und Telefonvermerken, die das Versicherungsunternehmen verweigerte. Begründet hat das Unternehmen die Verweigerung der Auskunft damit, dass der Anspruch nach Art. 15 DS-GVO solche Informationen nicht umfasse.

Das OLG widersprach der Ansicht der Beklagten und bestätigte das Auskunftsrecht des Betroffenen. Das Gericht begründete seine Entscheidung damit, dass der Begriff „personenbezogene Daten“ weit zu fassen ist und sich nicht nur auf Identifikationsmerkmale wie Name und Geburtsdatum oder äußere Merkmale wie Geschlecht und Größe bezieht. Vielmehr sind auch innere Zustände wie Wünsche und Wertvorstellungen sowie sachliche Informationen wie Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen umfasst. Personenbezogen sind ebenfalls Aussagen, die subjektive und/oder objektive Einschätzung von Betroffenen zulassen.

Besonders betonte das OLG, dass es „[…] durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten […] keine belanglosen Daten mehr [gibt]“.

Der gleichen Ansicht folgte auch das Landgericht (LG) München und verweis in seinem Urteil (Az.: 3 O 909/19) bei der Begründung zum Bestehen des Auskunftsanspruches auf das Urteil des OLG Köln. Die Beklagte wurde in dem betreffenden Fall verurteilt, der betroffenen Klägerin Kopien aller personenbezogenen Daten inklusive Telefonnotizen, Aktenvermerken, Protokollen, E-Mails, Briefen und Zeichnungsunterlagen für Kapitalanlagen zur Verfügung zu stellen. Im folgenden Berufungsverfahren vor dem Oberlandesgericht (OLG) München wurde die Einordnung als personenbezogene Daten ebenfalls bestätigt. Zudem stellte das Gericht klar, dass es sich bei Art. 15 Abs. 3 DS-GVO um einen eigenständigen Anspruch auf Kopie neben dem bloßen Recht auf Auskunft nach art. 15 Abs. 1 DS-GVO handelt.

Ausnahme: Fehlende Identifikation des Betroffenen

Während die genannten Urteile Verantwortliche in Bezug auf die Herausgabe der personenbezogenen Daten an Betroffene eher belastet und die Reichweite des Anspruchs kaum beschränken, erlegt das Amtsgericht (AG) Berlin-Mitte mit seinem Urteil vom 29.07.2019 (Az.: 7 C 185/18) Betroffenen bei der Geltendmachung ihrer Ansprüche ebenfalls Pflichten auf. Im vorliegenden Fall klagte ein Rechtsanwalt, der für seinen Mandanten als Betroffenen das Auskunftsersuchen eingereicht hatte, gegen das betreffende Unternehmen, da die Auskunft nicht fristgemäß erteilt wurde. Art. 12 Abs. 3 S. 1 DS-GVO besagt, dass die Informationen dem Betroffenen spätestens nach Ablauf eines Monats nach Eingang des Antrags zur Verfügung gestellt werden müssen. Verantwortliche Stellen müssen bzw. dürfen allerdings keine personenbezogenen Daten herausgeben, wenn sie die betroffene Person nicht eindeutig identifizieren können (Art. 12 Abs. 2 S. 2 DS-GVO).

Auf diese Ausnahme stützte sich das beklagte Unternehmen, denn der Rechtsanwalt legte trotz Aufforderung zunächst keine Originalvollmacht vor, sondern lediglich eine Kopie. Das AG gab dem Beklagten recht und entschied, dass die Frist zur Abarbeitung der Anfrage erst mit Vorlegen der Originalvollmacht beginne, denn ohne diese ist eine eindeutige Identifizierung des Betroffenen und des Rechtsanwalts als seinem Vertreter nicht möglich. Unternehmen sind verpflichtet, vor Erteilen der Auskunft die Identität des Betroffenen eindeutig zu bestimmen. Liefern betroffene Personen nicht ausreichend Daten, damit das Unternehmen seiner Pflicht nachkommen kann, darf es die Auskunft nicht erteilen.

Dass bei Geltendmachung des Auskunftsanspruchs über einen Bevollmächtigten die Vorlage einer Originalvollmacht erforderlich ist, bestätigte auch das Oberlandesgericht (OLG) Stuttgart mit seinem Urteil vom 31.03.2021 (Az.: 9 U 34/21). Unter den Begriff der Urkunde würden nur solche verkörperten Erklärungen fallen, die ohne Verwendung technischer Hilfsmittel lesbar sind. Die elektronische Form – im betreffenden Fall die Vorlage „Signing Log“ über eine von der Klägerin elektronisch erfolgte Signatur – könne eine Urkunde von Gesetzes wegen nicht ersetzen.

Einschränkung des Auskunftsrechts für Insolvenzverwalter

Nicht nur eingeschränkt, sondern gänzlich verneint hat das Bundesverwaltungsgericht (BVerwG) den Auskunftsanspruch eines Insolvenzverwalters. Dieser hatte vom Finanzamt einen Auszug aus dem Steuerkonto des Insolvenzschuldners verlangt. Er berief sich dabei nicht nur auf die Insolvenzordnung (InsO) und die Abgabenordnung (AO), sondern auch auf die Datenschutz-Grundverordnung (DS-GVO). Das Finanzamt verweigerte die Auskunft mit der Begründung, dass nach keiner der genannten Vorschriften ein Auskunftsrecht bestehe. Daraufhin reichte der Insolvenzverwalter Klage ein und stützte sich dabei nur noch auf die DS-GVO.

Das Bundesverwaltungsgericht (BVerwG) folgte der Ansicht des Finanzamts (Az.: 6 C 10.19). Dem Insolvenzverwalter stehe kein Recht auf Auskunft und die Herausgabe einer Kopie gem. Art. 15 DS-GVO zu. Als Begründung führte das Gericht an, dass der Insolvenzverwalter im Hinblick auf die Daten des Insolvenzschuldners weder nach dem Wortlaut noch nach der Systematik noch nach Sinn und Zweck der Norm Betroffener i. S. d. der DS-GVO sei. Die Betroffenenrechte nach der DS-GVO dienen dem Schutz des Grundrechts auf Achtung der Privatsphäre und nicht dazu, Informationen mit vermögensrechtlichem Bezug zu erhalten.

Zu einem ähnlichen Ergebnis kam auch das Oberverwaltungsgericht (OVG) Bremen (OVG Bremen, Urteil v. 10.01.2023, Az.: 1 LA 420/21). In dem betreffenden Fall forderte ein Insolvenzverwalter als Insolvenzschuldner gegenüber Dritten im Rahmen eines Verfahrens vor dem OVG Bremen Auskunft gemäß Art. 15 DS-GVO und berief sich dabei auf seine Funktion als Insolvenzverwalter und die damit einhergehende Ermächtigungserklärung des Insolvenzschuldners. Das Gericht lehnte den Auskunftsanspruch des Insolvenzverwalters ab. Nach Ansicht des OVG Bremen diene das Auskunftsrecht nach Artikel 15 Absatz 1 DS-GVO nicht der Schaffung eines Zugangs zu Verwaltungsdokumenten. Auch wenn der Auskunftsanspruch mittelbare vermögensrechtliche Folgen haben kann (z. B. Schadensersatz), ist er zudem selbst kein übertragbarer Vermögenswert und kann nicht Teil der Insolvenzmasse werden.

Ebenfalls durch das BVerwG abgelehnt (Az.: 10 C 4.20, 10 C 7.21) wurde das Auskunftsbegehren eines Insolvenzverwalters beim Finanzamt, der unter Berufung auf das Informationsfreiheitsgesetz des Landes Nordrhein-Westfalen um Informationen über steuerliche Verhältnisse von zwei insolventen Gesellschaften bat. Die im Rahmen des Inkrafttretens der DS-GVO novellierte Abgabenordnung schließe solche Ansprüche aus.

Kein Anspruch auf Akteneinsicht bei Betriebsprüfung

Im Gegensatz zur oben beschriebenen Entscheidung des Finanzgericht (FG) Saarland, entschied das FG Baden-Württemberg, das sich aus Art. 15 DS-GVO kein Recht aus Akteneinsicht ableiten lässt. Im betreffenden Fall ging es allerdings um eine Handakte, die eine Betriebsprüferin im Rahmen der Prüfung eines selbständigen Apothekers angefertigt hatte. Der Apotheker forderte Akteneinsicht und eine Kopie der Unterlagen, um mit den personenbezogenen Daten, Auswertungen, Berechnungen und sonstigen Unterlagen unberechtigte steuerliche Ansprüche abwehren zu können. Nachdem die Einsicht abgelehnt wurde, erhob er Klage und berief sich dabei auf Art. 15 Abs. 1, 3 DS-GVO.

Das FG Baden-Württemberg entschied zu Gunsten der Beklagten und entschied, dass die Einsichtnahme zurecht abgelehnt wurde (Az.: 10 K 3159/20). Aus Art. 15 DS-GVO allein lässt sich nach Ansicht des Gerichts kein Recht auf Akteneinsicht ableiten, einem gebundenen Anspruch sei schon aus sprachlichen Gründen zu widersprechen. Umfasst seien auch keine Daten, die im Rahmen der Betriebsprüfung selbst geschaffen wurden (z. B. durch Schätzung), da angewandte Schätzmethoden und Schlussfolgerungen der Prüfung keine Verarbeitung i. S. v. Art. 4 Nr. 2 DS-GVO darstellen. Das vorgetragene Interesse des Klägers sein zudem sei das Interesse des Klägers nicht datenschutzrechtlicher Natur, sondern steuerverfahrensrechtlicher.

Auskunftsrecht kann rechtsmissbräuchlich sein

Dass Gerichte versuchen, dem Ausnutzen des Auskunftsrechts nach der DS-GVO im Rahmen von Rechtstreitigkeiten entgegenzuwirken, zeigt eine Entscheidung des Landgerichts (LG) Gießen vom 11.01.2023. Das Gericht lehnte ein Auskunftsverlangen eines Versicherungsnehmers gegen seine Krankenversicherung als rechtsmissbräuchlich ab (LG Gießen, Urteil v. 11.01.2023, Az.: 2 O 178/22). Dieser klagte gegen eine Beitragserhöhung seiner Krankenkasse und forderte Rückzahlung der seiner Meinung nach zu Unrecht erhobenen Krankenkassenbeiträge und verlangte im Rahmen des Rechtsstreits unter anderem Auskunft über alle Beitragsanpassungen, die sie in dem zwischen den Parteien geschlossenen Vertrag vorgenommen hat und hierzu geeignete Unterlagen sowie einige weitere Informationen zur Verfügung zu stellen.

Das LG Gießen begründete seine Entscheidung damit, dass das begehrte Auskunftsbündel ausschließlich der Verfolgung von Leistungsansprüchen diene, was einen vollkommen verordnungsfremden Zweck darstelle. Das Auskunftsrecht aus Art. 15 DSGVO diene vielmehr dazu, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Nach Ansicht des Gerichts sei ein Begehren, das sich derart weit von dem Regelungsinhalt einer Rechtsgrundlage entfernt hat, nicht schützenswert.

Dokumentierter Prozess der Bearbeitung essenziell

Zusammenfassend lässt sich sagen, dass die Reichweite des Auskunftsanspruchs nach der aktuellen Rechtsprechung alle Informationen umfasst, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – von den Kontaktdaten bis zum Notizzettel. In der Praxis heißt das auch, Unternehmen müssen intern Prozesse und Strukturen schaffen, um Betroffenenrechte erfüllen zu können. Es muss gewährleistet sein, dass die Daten vollständig zusammengetragen werden und als Kopie zur Verfügung gestellt, das heißt, zum Beispiel auch aus Tools exportiert werden können. Zusätzlich muss die Bearbeitung von Auskunftsersuchen – wie auch der übrigen Betroffenenrechte – vollständig dokumentiert werden, um die Plichten der DS-GVO zu erfüllen.