Urteil des EuGH

In einem Urteil vom 22.06.2023 (Rs. C-579/21) hat der EuGH festgelegt, dass das Auskunftsrecht der betroffenen Person nach Art.15 DSGVO auch Angaben darüber beinhaltet, wann und warum ein Zugriff auf personenbezogene Daten stattgefunden hat.

Dagegen ist die Identität der Personen, die auf die Daten des Betroffenen zugegriffen haben, nicht von dem Auskunftsrecht umfasst. Es sei denn, der Betroffene kann ohne Information über die Identität der Abfragenden nicht sein Auskunftsrecht ausüben und das Recht der Abfragenden auf Privatsphäre wird dabei ausreichend gewahrt.  

Zudem hat der EuGH entschieden, dass das Auskunftsrecht auch für Informationen gilt, die sich auf Datenverarbeitungen beziehen, die vor dem Wirksamwerden der DSGVO durchgeführt wurden. Hierfür muss das Auskunftsersuchen nach dem 25.05.2018 gestellt worden sein; seither gilt die DSGVO.

Fallkonstellation

Im oben genannten Urteil ging es um einen Mitarbeiter einer Bank in Finnland. Dieser war gleichzeitig auch Kunde von der Bank. Bereits im Jahr 2014 erlangte der Mitarbeiter Kenntnis darüber, dass im Zeitraum vom 01.11.2013 bis zum 31.12.2013 mehrfach Datenabfragen von anderen Mitarbeitern über Ihn getätigt wurden. Mit Wirksamwerden der DSGVO machte der Mitarbeiter, dessen Arbeitsverhältnis mittlerweile gekündigt worden war, von seinem Auskunftsrecht Gebrauch und stellte am 29.05.2018 eine Anfrage an die Bank. Darin forderte er Angaben über die Identität der Mitarbeitenden der Bank, die seine Kundendaten abfragten, den exakten Zeitpunkt der Abfragen sowie die Zwecke der Datenverarbeitungen an.  

Die Bank machte darauf hin lediglich Angaben zu den Verarbeitungszwecken der damaligen Abfragen. Ein Bankkunde, dessen Berater der Auskunftssuchende war, sei Gläubiger einer Person, die den gleichen Nachnamen wie der Auskunftssuchende hat. Die Abfragen dienten laut der Bank zur Klärung, ob der Auskunftssuchende und der Schuldner die identische Person seien und daher ein Interessenskonflikt bestanden haben könnte.  

Die Identitäten der Mitarbeiter, die die Abfragen durchführten, gab die Bank nicht heraus.

Somit entschloss sich der Auskunftssuchende die zuständige Aufsichtsbehörde zu kontaktieren und gegen die Bank Klage einzureichen. Diese Maßnahme erfolgte in Bezug auf den Datenschutz rechtskonform. Die DSGVO und damit natürlich auch der Artikel 15 sind hierbei anwendbar. Das Auskunftsersuchen wurde einen Tag nach Wirksamwerden der DSGVO, dem 29.05.2018, gestellt. Finnland ist Mitglied der EU, so das auch der räumliche Anwendungsbereich der DSGVO erfüllt ist.  

Der Antrag auf vollständige Auskunft wurde zunächst vom Büro des finnischen Datenschutzbeauftragten abgelehnt. Danach wandte sich der Auskunftssuchende mit einer Klage an das Verwaltungsgericht Ostfinnland. Dieses leitete den Fall an den EuGH weiter und bat um Klärung der Auslegung des Art.15 DSGVO.

Fazit

Der EuGH hat mit seinem aktuellen Urteil den Umfang des Auskunftsrechts für die Betroffenen weiter ausgebaut. Dies überzeugt, da die DSGVO auch die wesentliche Funktion hat die Betroffenenrechte zu stärken. Diese sind explizit im Kapitel Nr. 3 der DSGVO niedergeschrieben. Das Auskunftsrecht gilt dabei als das zentrale Recht von Betroffenen, das in der Praxis - neben dem Recht auf Löschung - am häufigsten gegenüber den Verantwortlichen beansprucht wird.

Interessanterweise hat der EuGH zusätzlich in seinem Urteil noch klargestellt, dass es für die Geltendmachung des Auskunftsanspruchs unerheblich ist, dass der Auskunftssuchende vormals bei der Bank angestellt gewesen ist. Es liegt hierbei grundsätzlich keine Auswirkung auf die Reichweite des Auskunftsrechtes vor. Auch diese Feststellung des EuGH ist sinnvoll und stärkt die Rechte der Betroffenen.

Wie der voran genannte Fall aus Finnland zeigt, ist die Festlegung des EuGH, das Informationen zum Grund und zum Zeitpunkt von Datenabfragen dem Auskunftsrecht zuzuordnen sind, absolut sinnvoll. Nur über diese Zuordnung konnte der Auskunftssuchende eine für Ihn auch nachvollziehbare Auskunft erhalten. Dass der EuGH die Identität der Abfragenden vom Grundsatz her nicht unter das Auskunftsrecht fasst, ist dabei kein Widerspruch. Schließlich ist deren Recht auf Privatsphäre zwingend zu berücksichtigen. Zumal der EuGH in seinen Ausführungen klar festlegt, unter welchen Voraussetzungen die Identitäten der Abfragenden im Zuge des Auskunftsrechts doch herauszugeben sind.

Die weitere Klarstellung des EuGH, dass auch Angaben aus Datenverarbeitungsvorgängen unter das Auskunftsrecht fallen, die vor der Geltung der DSGVO ausgeführt worden, ist ebenfalls nachzuvollziehen. Der Betroffene hat einen Anspruch auf vollständige Auskunft. Der Verantwortliche muss dabei sämtliche Daten angeben, die von dem Betroffenen vorliegen. Hierunter fallen auch Daten, die vor dem 25.05.2018 erfasst wurden, und seither z.B. aufgrund gesetzlicher Vorgaben vom Verantwortlichen aufzubewahren sind.  

Aus Sicht des Verantwortlichen sind durch das Urteil des EuGH die Anforderungen an eine Auskunft über die personenbezogenen Daten detaillierter und strenger geworden. Der Verantwortliche ist mehr denn je gefordert sehr gewissenhaft bei der Beantwortung eines Auskunftsersuchens vorzugehen. Als vorteilhaft erweist sich für den Verantwortlichen, wenn dieser ein vollständiges Löschkonzept erstellt hat und die erforderlichen Löschprozesse ausführt. Personenbezogene Daten, die durch die korrekte Löschung nicht mehr vorhanden sind, müssen vom Verantwortlichen nicht mehr beauskunftet werden.