Das Auskunftsersuchen gemäß Art. 15 DSGVO ist neben dem Löschersuchen gemäß Art. 17 DSGVO unter den Betroffenen sehr populär. Doch, wie jedes Recht, hat auch das Recht auf Auskunft seine Grenzen. Es stellt sich die Frage, was ein Verantwortlicher bei der Bearbeitung eines Auskunftsersuchens zu beachten hat.

1. Einführung

Laut Art. 15 Abs. 1 DSGVO hat die betroffene Person „das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft (…)“. Die Auskunft ist gemäß Art. 12 Abs. 3 DSGVO generell innerhalb von einem Monat ab dem Eingang des Antrags seitens des Verantwortlichen zu beantworten. Nun, wie sieht es in der Praxis aus?

2. Auskunftsersuchen: Prüfungsschritte

Im Umgang mit den Betroffenenanfragen ist Folgendes zu beachten:

2.1 Schriftformzwang

Wegen der sich aus der DSGVO ergebenden Pflichten (Datensicherheit gemäß Art. 32 DSGVO, Nachweispflicht gemäß Art. 24 DSGVO, Fristen gemäß Art. 12 Abs. 3 DSGVO usw.) ist es empfehlenswert; keine Anfragen via Telefon entgegenzunehmen, sondern die anfragende Person auf den Schriftweg (Post, E-Mail) zu verweisen. Die Betroffenenanfrage soll dann unverzüglich an den Datenschutzbeauftragten übermittelt werden, um die weitere Vorgehensweise festzulegen.

2.2 Aktivlegitimation (Eigenschaft des Antragstellers als Betroffener)

Da das Auskunftsrecht nur von einer betroffenen Person (eine natürliche Person, deren personenbezogene Daten verarbeitet werden) geltend gemacht werden darf, ist zu prüfen, ob sich bei der anfragenden Person tatsächlich um einen Betroffenen handelt (Bspw. BVerwG, Urteil vom 16.9.2020, 6 C 10/19: Der Insolvenzverwalter ist hinsichtlich der Steuerdaten des Insolvenzschuldners nicht "betroffene Person" im Sinne des Art. 4 Nr. 1, Art. 15 Abs. 1 DSGVO).

2.3 Passivlegitimation (Eigenschaft des Empfängers als Verantwortlicher)

Seitens des Empfängers ist zu überprüfen, ob die personenbezogenen Daten der betroffenen Person verarbeitet werden und, wenn ja, in was für einer Eigenschaft (Verantwortlicher oder Auftragsverarbeiter). Soll es sich beim Empfänger um einen Auftragsverarbeiter handeln, dann ist er gemäß Art. 28 Abs. 3 lit. e DSGVO verpflichtet, die Betroffenenanfrage an den Verantwortlichen weiterzuleiten und ihn bei deren Beantwortung zu unterstützen.

2.4 Ausnahmen

Zu jeder Regel gibt es Ausnahmen. Das gilt auch für das Auskunftsrecht. Schon in Art. 15 Abs. 4 DSGVO ist zu lesen, dass die Auskunft die Rechte und Freiheiten anderer Personen nicht beinträchtigen darf. Im EG 64 DSGVO wird dieser Begriff näher präzisiert: „Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen.“ Die Ausnahmen sind dann genau in Art. 23 Abs. 1 DSGVO aufgelistet (bspw. die Durchsetzung zivilrechtlicher Ansprüche).

2.5 Einwand des Rechtsmissbrauchs

Weiter ist zu klären, ob das Auskunftsrecht zu datenschutzfremden Zwecken geltend gemacht wird. Es war nämlich schon vor dem Inkrafttreten der DSGVO am 25.05.2018 den Datenschutzpraktikern klar, dass im Zusammenhang mit dem Auskunftsrecht nach Art. 15 DSGVO mit Rechtsmissbrauch iSd. § 242 BGB zu rechnen ist. Dieser liegt dann vor, wenn der Anspruchsinhaber eine formale Rechtsstellung ausnutzt oder etwas geltend macht, an dem er kein schützenswertes Eigeninteresse hat (LG Wuppertal, Urteil vom 29.07.2021, 4 O 409/20 Rn. 66). Die diesbezügliche Judikatur hat diese Befürchtungen nur bestätigt:

AG Pforzheim, Urteil vom 05.08.2022 - 4 C 1845/21, Rn. 31: „Ein Anspruch ist dann zu versagen, wenn das Anliegen des Anspruchstellers "offenkundig unbegründet" oder der Anspruch "exzessiv" ist (vgl. Art. 12 Abs. 5 DS-GVO); dies gilt aber auch dann, wenn sachfremde Ziele verfolgt werden. Letzteres kann dann anzunehmen sein, wenn der Betroffene nicht eine Rechtmäßigkeitsprüfung zur Durchsetzung seiner Betroffenenrechte anstrebt, sondern eine inhaltliche Prüfung oder eine Lästigkeitswirkung erzielen möchte (…). Darüber hinaus kann ein Missbrauch auch in vergleichbaren Fällen angenommen werden, (…), so wenn ein Antrag dem alleinigen Ziel dient, dem Antragsgegner Aufwand zu bereiten (sog. schikanöse Anträge) oder er eindeutig andere Ziele verfolgt (…)“.

OLG Nürnberg, Urteil vom 14.03.2022 – 8 U 2907/21, Rn. 28: „Bei der Auslegung, was in diesem Sinne rechtsmissbräuchlich ist, ist auch der Schutzzweck der DS-GVO zu berücksichtigen. Wie sich aus dem Erwägungsgrund 63 der Verordnung ergibt, ist Sinn und Zweck des in Art. 15 DS-GVO normierten Auskunftsrechts, es der betroffenen Person problemlos und in angemessenen Abständen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu werden und die Rechtmäßigkeit dieser Verarbeitung überprüfen zu können (…). Um ein solches Bewusstwerden zum Zweck einer Überprüfung der datenschutzrechtlichen Zulässigkeit der Verarbeitung personenbezogener Daten geht es dem Kläger aber ersichtlich nicht. Sinn und Zweck der von ihm begehrten Auskunftserteilung ist vielmehr (…) ausschließlich die Überprüfung etwaiger von der Beklagten vorgenommener Prämienanpassungen (…). Eine solche Vorgehensweise ist vom Schutzzweck der DS-GVO aber nicht umfasst (…)“. Ähnlich haben auch: OLG Brandenburg und OLG Karlsruhe entschieden.

2.6 Auskunftsumfang und -arten

Art. 15 Abs. 1 DSGVO legt den Umfang der zu erteilenden Auskunft fest:

• die Verarbeitungszwecke;
• die Kategorien der verarbeiteten personenbezogenen Daten,
• die Datenempfänger oder Kategorien von Datenempfängern,
• die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
• das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
• Informationen über die Herkunft der Daten;
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling.

Da der Umfang der Auskunft gesetzlich festgelegt ist, sind nur diese Fragen und keine weiteren zu beantworten (siehe auch OLG Stuttgart, Urteil vom 17.06.2021, 7 U 325/20: Die Informationen über die Fondsgewinne, die Kosten, die Schadenseintrittswahrscheinlichkeit usw. fallen nicht unter Art. 15 DSGVO, da sie keine personenbezogenen Daten darstellen).

Laut EUGH (Urteil vom 04.05.2023, C-487/21, Rn. 45), ist Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen, „dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind“. Darunter kann interne Kommunikation wie bspw. Vermerke fallen (BGH, Urteil vom 15.06.2021, VI ZR 576/19, Rn. 27). Laut BGH (Urteil vom 27.09.2023, IV ZR 177/22) ergibt sich aus Art. 15 DSGVO nur ein Anspruch auf eine Kopie der Daten, aber kein Anspruch auf Herausgabe von Kopien bestimmter Dokumente.

Soll eine Ausnahme (siehe Punkt 2.4) bzw. ein Fall des Rechtsmissbrauchs (siehe Punkt 2.5) vorliegen, dann muss die sogenannte Negativauskunft (Art. 12 Abs. 5 DSGVO) erteilt werden. Hier müssen die Gründe erläutert werden, wieso die Auskunftserteilung nach Art. 15 DSGVO nicht möglich ist. In diesem Zusammenhang ist darauf hinzuweisen, dass der Verantwortliche nach Art. 12 Abs. 5 DSGVO den missbräuchlichen Charakter der Betroffenenanfrage nachweisen muss.

3. Schlussfolgerungen

Nach dem Inkrafttreten der DSGVO konnte der Trend beobachtet werden, dass das Auskunftsrecht iSd. Art. 15 DSGVO im Zusammenhang mit den Rechtsstreitigkeiten zwecks vorprozessualer Ausspähung eingesetzt wird. Es ist lobenswert, dass die Gerichte durch ihre Rechtsprechung die teleologische Reduktion dieses Betroffenenrechts vornehmen, damit es nicht zu dem in den Common-Law-Ländern üblichen Discovery- bzw. Document-Production-Verfahren ausufert. Aus diesem Grund sollen die Verantwortlichen bei der Bearbeitung der Auskunftsanträge der Betroffenen auch die Ausnahmen sowie den Einwand des Rechtsmissbrauchs in Betracht ziehen (es soll u.a. überprüft werden, ob die betroffene Person an einem Rechtsstreit mit dem Verantwortlichen beteiligt ist). Soll das bei einer Betroffenenanfrage der Fall sein, dann ist die Negativauskunft zu erteilen.