Das Auskunftsrecht nach Art. 15 DSGVO als prozesstaktisches Mittel

Fachbeitrag

Das Auskunftsrecht und das „Recht auf Kopie“ nach Art. 15 DSGVO beschäftigt die Datenschutzgemeinde schon seit längerer Zeit. Die Kritik an einer allzu extensiven Auslegung der Norm hinsichtlich Reichweite und Umfang schallt damals wie heute besonders laut aus der Ecke der Datenschutzberater und Rechtsanwälte. Besonders virulent wird die Frage im Zuge eines laufenden Gerichtsverfahrens, denn das Recht wird immer aggressiver prozesstaktisch eingesetzt.

Der Auskunftsanspruch geht neue Wege

Diese Kritik, welche angesichts der im Jahre 2020 anstehenden Evaluierung der DSGVO durch die europäische Kommission (Art. 97 Abs. 1 DSGVO) zuletzt wieder an Fahrt aufnahm, ist indes nicht unberechtigt. So zeigen sich insbesondere in der täglichen Beratungspraxis die Schwächen eines umfassend verstandenen Auskunftsanspruches. Dieser Beitrag möchte jedoch nicht zum wiederholten Male die hierzu vertretenen Ansichten des öffentlichen Diskurses durchkauen, sondern sich auf das immer relevanter werdende Problemfeld konzentrieren, welches sich bei umfassenden Auskunftsersuchen in laufenden Zivilprozessen ergibt.

Auskunftsrecht gemäß Art. 15 DSGVO und das Recht auf Kopie

Das Auskunftsrecht eines Betroffenen nach Art. 15 DSGVO gilt im Allgemeinen als sehr extensiv, die Grenzen sind aus wissenschaftlicher Sicht indes nicht abschließend ausdiskutiert.

Zahlreiche Autoren von Fachbeiträgen haben sich dieser Thematik bereits gewidmet, bisweilen wird hier vieles vertreten. So wird einerseits die Frage gestellt, ob das Recht auf Kopie aus Art. 15 Abs. 3 DSGVO ein eigenständiges Recht neben den Auskunftsansprüchen aus Abs. 1 darstellt oder diesem bereits innewohnt. Andererseits wird anhand des Wortlautes des Art. 15 Abs. 3 DSGVO („…eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind..“) diskutiert, welche Daten hiervon nun umfasst sind.

Während eine Ansicht ein umfassendes Recht auf Kopie sämtlicher vorhandenen Daten (einschließlich Metadaten) annimmt, fordert die Gegenansicht, dass es sich um Daten handeln müsse, die einen gewissen Informationswert über die betroffene Person haben und gerade Schwerpunkt der Verarbeitung sind.

Die verschiedenen Ansichten wurden bereit in einem anderen Beitrag unseres Blogs genauer beleuchtet. Wer sich mit den verschiedenen Meinungen und diversen Quellen zu diesem Thema intensiver auseinander setzen möchte, dem sei die hervorragende Materialsammlung des Kollegen Tim Wybitul empfohlen.

Uneinheitliche Rechtsprechung

Auch die Gerichte haben sich der Frage mittlerweile – mit durchaus differierenden Ansätzen – angenommen. Wo das LAG Baden-Württemberg noch von einem umfassenden Auskunftsrecht eines Arbeitnehmers ausging, erteilte das LG Köln einem solchen Verständnis derweil eine Absage.

Von Rechtssicherheit kann derzeit also keine Rede sein. Umso spannender wird daher die Frage, wie eine verantwortliche Stelle im Einzelfall – und hier insbesondere im laufenden Prozess – auf ein umfassendes Auskunftsersuchen reagieren sollte.

Auskunftsrecht als prozesstaktisches Mittel

In der Beraterpraxis und wohl insbesondere im Alltag beratender Rechtsanwälte stellt sich zunehmend die Problematik, dass Auskunftsersuchen nach Art. 15 DSGVO oftmals während rechtshängiger Verfahren (besonders gerne in Kündigungsschutzverfahren vor den Arbeitsgerichten) gestellt werden. Gefordert werden natürlich Kopien sämtlicher vorhandener Daten, Abrechnungen, E-Mail-Konversationen, WhatsApp-Chats und Login-Daten.

Folgt man der oben geschilderten Ansicht, Inhalt des Auskunftsanspruches und damit auch des Rechts auf Kopie seien sämtliche vorhandenen (Meta)Daten, so stellt die Beantwortung der Anfrage viele Verantwortliche vor erhebliche Schwierigkeiten. Diese zusätzliche Belastung, insbesondere während einem laufenden Gerichtsverfahren, kann bisweilen durchaus Einfluss auf den Prozess haben. So ist es durchaus denkbar, dass ein Arbeitgeber bei schwebenden Vergleichsverhandlungen aufgrund des erzeugten Drucks eher bereit sein wird, einen tendenziell ungünstigen Vergleich zu akzeptieren.

Ein weiterer Effekt eines umfassend verstandenen Anspruchs kann sein, dass der Gegenseite hierdurch die Beweisführung erheblich erleichtert werden könnte. Die Zivilprozessordnung (ZPO) fußt auf dem sog. Beibringungsgrundsatz, wonach jede Partei eines Rechtsstreites die sie jeweils begünstigende Tatsache beweisen muss (§ 282 ZPO). Im Unterschied zum amerikanischen Prozessrecht, welches dem eigentlichen Rechtsstreit ein sog. Discovery-Verfahren voranstellt, sind Kläger und Beklagter nicht verpflichtet, der Gegenseite bei der Beschaffung von Beweisen zu helfen. Durch eine umfassende Pflicht zur Herausgabe von Kopien wird beim Verantwortlichen einerseits immenser Aufwand erzeugt, welcher die Ressourcen der Prozessführung durchaus beeinträchtigen kann, andererseits erhält der Betroffene Zugriff auf Beweismittel, ohne hierfür Aufwand betrieben zu haben.

Mögliche Einwände des Verantwortlichen

Dass ein solches Vorgehen nicht nur den Sinn und Zweck des Auskunftsrechtes verfehlt, sondern auch eines der Grundprinzipien der Prozessführung nach der ZPO quasi ad absurdum führt, liegt auf der Hand. Zahlreiche Stimmen aus Beraterkreisen und Anwaltschaft sehen deshalb derzeit die Gefahr einer „Pervertierung“ des Auskunftsrechtes.

Sinn und Zweck dieses Rechtes ist ausweislich Erwägungsgrund 63, dem Betroffenen die Möglichkeit zur Prüfung der Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten zu geben. Es stellt sich nun die Frage, wie auf solche Anfragen, die augenscheinlich datenschutzfremde Zwecke verfolgen, reagiert werden kann und soll.

Teleologische Reduktion

  • Ein Ansatzpunkt wäre Art. 15 Abs. 3 DSGVO teleologisch zu reduzieren. Mit dem Sinn und Zweck (s.o.) der Vorschrift ist ein Anspruch auf Auskunft und Kopie sämtlicher vorhandenen Daten nicht vereinbar. Zur Prüfung der Rechtmäßigkeit bedarf es zwar der Kenntnis über das Vorhandensein von Daten und sicherlich einer Kopie derjenigen Daten, die konkrete Informationen über die betroffene Person beinhalten. Es muss jedoch bezweifelt werden, dass die konkrete Information über sämtliche Daten, die auch nur personenbeziehbar sind, einschließlich aller Metadaten, den Betroffenen zur Prüfung der Rechtmäßigkeit befähigen. Dies wird zudem durch den Wortlaut des Art. 15 Abs. 3 DSGVO gestützt, welcher lediglich von Daten, „die Gegenstand der Verarbeitung sind“ spricht. Es ist somit zumindest ein gewisser Grad an Aussagekraft über die betroffene Person zu fordern.
  • Diesem Ansatz folgt auch verstärkt die Rechtsprechung. So betont das OLG Köln mit Urteil vom 26.07.2019 (AZ: 26 O 360/16), dass personenbezogene Daten all jene Daten seien, die entweder persönliche oder sachliche Informationen über den Betroffenen enthalten. Auch Aussagen, die eine subjektive oder objektive Einschätzung zum Betroffenen liefern, weisen Personenbezug auf. So seien zwar auch Daten über geführte Telefonate umfasst, jedoch nur dann, wenn konkrete Aussagen über den Betroffenen gemacht worden seien. (Rn. 77) Dies ist bei einfachen, technischen Logeinträgen oder Metadaten gerade nicht der Fall.

„Treu und Glauben“

  • Ein weiteres Argument könnte sein, dass auch das europäische Datenschutzrecht den Grundgedanken der Fairness in den Art. 8 Abs. 2 GRCh und Art. 5 Abs. 1 lit. a DSGVO ausdrücklich anführt. Zwar ist wohl nicht jedes Auskunftsersuchen, welches über die Rechtmäßigkeitsprüfung hinausgeht, als per se „unfair“ zu betrachten. Jedoch ist im Einzelfall ein solcher Einwand durchaus denkbar, wenn beispielsweise konkret Kopien solcher Daten verlangt werden, die gerade streitige Tatsachen im Prozess betreffen oder das Verlangen so umfangreich ist, dass offensichtlich Druck auf schwebende Verhandlungen ausgeübt werden soll.

Rechte Dritter und Unverhältnismäßigkeit

  • Neben Einwänden wegen entgegenstehender Rechte Dritter (Art. 15 Abs. 4 DSGVO),  kommt zudem ein Einwand wegen unverhältnismäßigen Aufwandes in Frage, welchen wir im Blog bereits ausführlich besprochen haben. Da für diesen jedoch mitunter weitere Voraussetzungen gegeben sein müssen, kann dies allenfalls im spezifischen Einzelfall einen gangbaren Weg darstellen.

Tätigwerden des Gesetzgebers erforderlich

Sowohl Gerichte als auch die Fachwelt sind sich beim Auskunftsrecht uneins. Daher kann derzeit eine klare Aussage über dessen Reichweite, Umfang und Behandlung nur schwer getroffen werden. Einigkeit besteht lediglich in der Forderung an den europäischen Gesetzgeber, das Auskunftsrecht aus Art. 15 DSGVO zu konkretisieren und beispielsweise um einen gesetzlich normierten Unverhältnismäßigkeitseinwand zu ergänzen.

Ob und wann diese Forderungen jedoch berücksichtigt werden, steht derzeit noch in den Sternen. Bis dahin halte ich es für durchaus vertretbar, einem umfassenden und potenziell datenschutzfremden Auskunftsverlangen mit oben genannten Argumenten entgegenzutreten. Der Betroffene sollte zunächst zur Spezifizierung der gewünschten Daten und zum Zweck des Verlangens aufgefordert werden. Danach sollte detailliert geprüft werden, welche Daten tatsächlich herausgegeben werden müssen und welche Einwände gegebenenfalls geltend gemacht werden können. Soweit Daten herausgegeben werden, sollten Informationen, welche die Rechte Dritter beeinträchtigen, geschwärzt werden. Sollte sich der Verantwortliche ganz oder teilweise entschließen, dem Auskunftsverlangen nicht nachzukommen, so sollte diese Entscheidung mit Blick auf § 34 Abs. 2 BDSG ausführlich begründet werden.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

7 Kommentare zu diesem Beitrag

  1. Inwiefern ist der Auskunftsanspruch im laufenden Prozess „*gegenläufig* zum Sinn und Zweck des Auskunftsrechtes“? Der von Gesetzgeber vorgesehene Zweck des Auskunftsrecht bleibt vollkommen unbeschadet, auch wenn die Absicht des Anfragenden eine andere sein mag.

  2. Schade, dass dieser Artikel offenbart, auf welcher Seite der Autor und sein Arbeitgeber stehen: Auf Seiten der Starken (Unternehmen/Arbeitgeber, die sich von Anwälten für viel Geld beraten lassen). Dass das bereits erheblich eingeschränkte Auskunftsrecht in Zeiten massenhafter Datensammlung, immer detaillierterer Persönlichkeitsprofile (samt Metadaten) und immer besserer technischer Analysemöglichkeiten insbesondere die Schwachen, also die Betroffenen der Datenverabeitung zu mehr Macht in einem ungleichen Spiel zwischen mächtigen Datenherren und machtlosen Datensubjekten verhelfen sollte, bleibt leider unberücksichtigt.

    Diese Art Juristen, die spitzfindig die Rechte anderer wegdiskutieren wollen, um ihren meist unternehmerischen Auftraggebern eine günstigere Rechtsposition zu verschaffen, werden von manchen als „Winkeladvokaten“ bezeichnet. Möge jeder selbst entscheiden, ob damit dem Datenschutz als Menschenrecht gedient wird.

    PS: Die TLS-Verschlüsselung dieses Artikels ist übrigens defekt. Es ist nur teilweise verschlüsselt, da unverschlüsselte Elemente eingebunden sind.

    • Dieser Artikel – ebenso wie unser gesamter Blog – hat nicht die Intention, sich auf die „Seite“ eines Beteiligten zu stellen, sondern möchte objektiv über verschiedenste Themen der datenschutzrechtlichen Welt informieren. Datenschutz ist für uns keine Frage widerstreitender Rechte, sondern soll im Rahmen einer umfassenden Abwägung den Rechte und Interessen sowohl von Verantwortlichen als auch Betroffenen gerecht werden.

      So sehr eine – wenn auch von Ihnen sehr pauschal geäußerte – Kritik an der Vorgehensweise mancher Unternehmen gerechtfertigt ist, so behandelt dieser Artikel gerade nicht das Auskunftsrecht als Mittel des Betroffenen, die Rechtmäßigkeit einer Datenverarbeitung zu prüfen. Dieses ist zweifelsohne für die Sicherung von Betroffenenrechten unerlässlich. Hier wird aber gerade der Fall angesprochen, dass das Auskunftsrecht bewusst zu datenschutzfremden Zwecken verwendet wird. Diese haben mit dem von Ihnen angesprochenen Machtgefälle nichts mehr zu tun, sondern betreffen andere, außerhalb des Datenschutzrechts geregelte Sachverhalte wie beispielsweise die gerichtliche Beweisführung.

      Die von Ihnen sicherlich zu Recht aufgeworfene Frage, welchen Stellenwert Betroffenenrechte gegenüber der immer umfangreicher werdenden Datensammlung mancher Unternehmen haben, wäre aber für einen separaten Blogpost sicherlich interessant.

      Ergänzend müssen wir anmerken, dass es ureigenste Aufgabe eines Juristen als Interessenvertreter ist, für den jeweiligen Mandanten im Rahmen geltender Gesetze eine günstige Rechtsposition zu erreichen. Ein Vorwurf diesbezüglich erscheint demnach unangebracht.

      Vielen Dank für den Hinweis der TLS-Verschlüsselung, der Fehler wurde behoben.

  3. @Dr Datenschutz: Die Stärke eines guten Blogbeitrags ist die Subjektivität – und auch zu dieser zu stehen. Andernfalls sollte man nicht seine Meinung zu Themen in einem Blog äußern.

    Der Autor scheint die genannten Entscheidungen des LAG BaWü und des LG Köln nicht richtig verstanden zu haben, wenn er davon spricht, dass das LAG BaWü ein umfassendes Auskunftsrecht vorsieht. Woher nimmt er dies? Wurden die Entscheidungen wirklich vollständig gelesen und verstanden?

    Das LAG BaWü sagt, dass die Beklagte den Auskunftsanspruch in Anwendung von § 34 Abs. 1 BDSG i.V.m. § 29 Abs. 1 Satz 2 BDSG mangels Nennung eines konkreten Sachverhalts nicht gänzlich verweigern kann: dies wäre nur möglich, wenn im Einzelfall schützenswerte Interessen eines Dritten vorlägen (Rn. 207-209). Die Auskunft ist daher über die Verarbeitung personenbezogener Daten im Umfang von Art. 15 Abs. 1 DSGVO zu erteilen. Wo sieht der Autor den Auskunftsanspruch hier als umfassender? Doch bitte nicht dahingehend, weil er bezweifelt, ob personenbezogene Leistungs- und Verhaltensdaten überhaupt personenbezogene Daten sind? Auch die §§ 29, 34 BDSG sollten bekannt sein.

    In der Entscheidung des LG Köln heißt es: „Vorliegend hat die Beklagte verschiedene Auskünfte und Informationen erteilt und angegeben, dass weitere personenbezogene Daten über die Klägerin nicht gespeichert seien bzw. verarbeitet wurden. Substantiierter Vortrag der Klägerin, welche Informationen seitens der Beklagten darüber hinaus noch verarbeitet worden seien könnten, ist nicht erfolgt. Insofern sind konkrete Anhaltspunkte, dass die Auskunft – nach Maßgabe der Rechtsauffassung der Kammer – unvollständig ist, nicht vorhanden.“

    Beide Fälle widersprechen sich überhaupt nicht, sondern sind für sich – unter Berücksichtigung des jeweiligen Sachverhalts – doch völlig richtig und im Einklag mit Art. 15 DSGVO. Diese künstliche Differenzierung, die der Autor hier vorantreibt, erschließt sich mir nicht. Wenn im Fall des LG Köln nunmal keine weitere personenbezogenen Daten vorliegen: dann kann über solche logischerweise auch keine Auskunft erteilt werden. Dass Vermerke etc. hierzu nicht zählen, sagt weder das LAG BaWü anders; noch widerspricht das LG Köln dem LAG BaWü für den Fall, dass schützenswerte Interessen Dritter vorliegen (die es vorliegend per se nicht gab).

    • Zunächst bedanken wir uns für Ihr Interesse und Ihre fachlichen Ausführungen.

      Der Hinweis, dass Gerichtsurteile – soweit auf sie verwiesen wird – korrekt widergegeben werden sollten, ist absolut gerechtfertigt.

      Der Blogartikel hat jedoch nicht zum Inhalt, im Detail auf die erwähnten Gerichtsurteile einzugehen und den Verfahrensgang zu besprechen, sondern möchte sich auf einen gänzlich anderen Gesichtspunkt des Art. 15 DSGVO konzentrieren. Insofern kommt es hierfür auch nicht darauf an, aus welchen Gründen die jeweiligen Urteile den Klagen stattgegeben oder sie abgewiesen haben. Vielmehr wird auf die darin enthaltene Wertung des Gerichtes zum Umfang des Auskunftsrechtes Bezug genommen. So verweist das Urteil des LAG BaWÜ in Rn. 201 darauf, dass sämtliche Korrespondenz, genauer gesagt „Jede einzelne vom Kläger geschriebene, gesendete und empfangene E-Mail“ relevante personenbezogene Daten enthält. Dem Urteil ist überdies nicht zu entnehmen, dass hinsichtlich des Umfangs von Art. 15 DSGVO eine andere Wertung vorzunehmen wäre. Aufgrund einer fehlenden Differenzierung des LAG halten wir es demnach für durchaus vertretbar, hier von einem „umfassenden“ Verständnis des Auskunftsrechtes zu sprechen.

      Sicherlich nicht wird bezweifelt, dass personenbezogene Leistungs- und Verhaltensdaten personenbezogene Daten sind. Bezweifelt werden kann aber durchaus, dass es sich bei solchen Daten stets um solche personenbezogenen Daten handelt, die Inhalt des Rechts auf Kopie sind.

      Der konkrete Sachverhalt des Urteils des LG Köln tut hier ebenfalls nichts zur Sache, denn auch hier trifft das Gericht eine Wertung, die für das Verständnis des Rechts auf Kopie relevant ist.

      „Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann. […] Rechtliche Bewertungen oder Analysen stellen insofern ebenfalls keine personenbezogenen Daten in diesem Sinne dar. Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DS-GVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält.“

      Richtig ist, dass sich die Urteile in Ihren konkreten Äußerungen nicht widersprechen, jedoch nimmt das LG Köln eine Differenzierung vor, die das LAG BaWü vermissen lässt.

      Für den hier verfolgten Zweck – nämlich die Darstellung des grundlegenden Verständnisses verschiedener Gerichte – halten wir die Einschätzung im Artikel demnach nach wie vor für richtig. Eine inhaltliche Auseinandersetzung mit den konkreten Rechtsstreitigkeiten sollte bewusst nicht vorgenommen werden. Hierfür wurde auf die umfangreiche Materialsammlung des Kollegen Wybitul verwiesen.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.