Einleitung

Vor Inkrafttreten der DS-GVO wurden die Auskunftsrechte in den §§ 19, 34 Bundesdatenschutzgesetz (BDSG) der alten Fassung geregelt. Bemerkenswert am Bundesdatenschutzgesetz ist, dass es in seiner ursprünglichen Fassung bereits 1977 in Kraft getreten ist. Die Bundesrepublik war damit dem europäischen Gesetzgeber um Jahrzehnte voraus – dieser verabschiedete ein erstes Gesetz zum Datenschutz erst im Jahr 1995 mit der Richtlinie 95/46/EG, welche wiederum durch die Richtlinien 2002/58/EG und 2009/136/EG ergänzt wurde. Diese wiederum wurde durch die DS-GVO im Mai 2018 ersetzt.

Zwar ist die DS-GVO eine europaweit einheitliche Verordnung, so dass sich die zum Bundesdatenschutzgesetz a.F. existierende deutsche Rechtsprechung nicht per se zur Auslegung von europäischen Normen heranziehen lässt und stattdessen neu erarbeitet werden muss. Ob und inwiefern existierende Rechtsprechung zum BDSG a.F. im Rahmen der DS-GVO herangezogen werden kann, deren Artikel gleichbedeutend mit Normen aus den oben genannten Richtlinien sind, ist Sache des Einzelfalls. In den hier erörterten Urteilen hat das LG Köln im Rahmen der Auslegung von Art. 15 DS-GVO frühere Rechtsprechung des OLG Köln zum § 34 BDSG a.F. (Beschluss vom 26.07.2018, 9 W 15/18) herangezogen.

Die §§ 19, 34 BDSG a.F. wurden im Rahmen der Umsetzung der Artt. 10, 12 der Richtlinie 95/46/EG erlassen. Während der Auskunftsanspruch der §§ 19, 34 BDSG a.F. nur eine Auskunft über die gespeicherten Daten vorsieht, geht Art. 15 DS-GVO darüber hinaus und sieht eine Auskunft über die verarbeiteten Daten vor. Das heißt in der Praxis, dass nun nicht mehr Auskunft über die Speicherung der Daten selbst gegeben werden muss, sondern die Verarbeitung umfasst auch das Auslesen, Abfragen, Verändern, Übermitteln, Verbreiten oder Abgleichen von Daten. Quasi jede Handlung, bei der Daten verwendet werden, stellt eine Verarbeitung dar. Mit Inkrafttreten der DS-GVO steht dem Verbraucher nun auch der neue Anspruch des Rechts auf Kopie gem. Art. 15 Abs. 3 DS-GVO zu.

Vorliegend soll herausgearbeitet werden, wie weit der Auskunftsanspruch aus Art. 15 Abs. 1 DS-GVO reicht und ob und wie weit personenbezogene Daten aus der Vergangenheit mitumfasst sind. Auch wenn die DS-GVO mittlerweile seit knapp 1,5 Jahren gilt, ist das Auskunftsrecht des Art. 15 DS-GVO Gegenstand juristischer Auseinandersetzung. Dies ist vor allem der unpräzisen Ausgestaltung der Norm in Hinblick auf ihre Reichweite geschuldet. 

Differenzierung zwischen dem Auskunftsrecht und dem Recht auf Kopie

Vorab sei erwähnt, dass Abs. 1 des Art. 15 DS-GVO sich in zwei Teile gliedert – es handelt sich um ein zweistufiges Auskunftsrecht. Der erste Teil gewährt den eigentlichen Auskunftsanspruch: „Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten (…).“ Der zweite Teil gewährt das Recht auf zusätzliche Informationen, die in lit. a) – h) aufgeführt sind. Dass die Norm zwei selbstständige Rechte meint, ist aufgrund der Gestaltung in Form eines einzelnen Satzes nicht auf den ersten Blick zu erkennen. Das Recht auf eine Kopie setzt folgerichtig einen Anspruch auf die Auskunft voraus. Beide Ansprüche führen somit zum selben Ergebnis – der Unterschied liegt lediglich darin, dass Art. 15 Abs. 1 DS-GVO keine Vorgaben zur Darstellung der personenbezogenen Daten macht. Dies kann also tabellarisch, grafisch oder auf Wunsch des Betroffenen auch mündlich erfolgen. Hingegen erfordert der Anspruch auf eine Kopie aus Art. 15 Abs. 3 DS-GVO eine Darstellung der Daten 1-zu-1 in der Form, wie sie tatsächlich beim Verantwortlichen vorliegen – ergo der Wortlaut „Kopie“.

Anspruch auf vergangene Informationen

Bislang ist weder umfangreiche Rechtsprechung vorhanden, die Art. 15 DS-GVO zum Gegenstand hat, noch gibt es höchstrichterliche Urteile. Jedoch hat das Landgericht Köln dieses Jahr bereits zwei Urteile, diese Thematik betreffend, gesprochen: 26 O 25/18 vom 18. März 2019 sowie 26 S 13/18 vom 19. Juni 2019. Wie oben erwähnt, ist unstrittig, dass der Auskunftsanspruch des Art. 15 DS-GVO über den vormaligen Auskunftsanspruch aus § 34 BDSG a.F. hinausgeht. Allerdings war auch nach dem BDSG a.F. nicht klar, inwieweit vergangene Informationen vom Auskunftsanspruch umfasst sind.

Das Landgericht hat eine enge Auslegung des Art. 15 DS-GVO angenommen und den Auskunftsanspruch der Klägerin auf die alleinigen gespeicherten Daten der Klägerin beschränkt. Sonstige interne Daten, die im Rahmen des Unternehmenszwecks verarbeitet werden, sind nicht von Art. 15 DS-GVO umfasst: 

„Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann.“

Das heißt, der Betroffene kann seinen Namen, Geburtsdatum, Identifikationsmerkmale, Gesundheitsdaten oder Kontonummer erfragen. Nutzt das Unternehmen die Daten um zum Beispiel interne Gutachten zu erstellen, werden diese nicht vom Auskunftsanspruch erfasst. Damit soll auch verhindert werden, dass Betroffene den Auskunftsanspruch „missbrauchen“ und den Verantwortlichen zum persönlichen E-Mail-/Postarchiv machen, was ansonsten einen riesigen Aufwand mit sich ziehen würde.

Damit folgte das LG einem Urteil des OLG Köln, welches im Rahmen des Auskunftsanspruchs des § 34 BDSG a.F. feststellte, dass dieser kein Ausforschungsanspruch sei und schon allein die Fairness gegenüber Unternehmen gebietet, dass diese internen Vorgänge unter Verschluss halten können. 

Damit ist auch die Frage nach den zurückliegenden gespeicherten Informationen vom LG Köln zum Teil beantwortet. Vergangene Korrespondenz mit oder über den Betroffenen ist nicht vom Auskunftsanspruch erfasst. Offen bleibt die Frage, ob eine sonstige vergangene Verarbeitung beauskunftet werden muss, soweit sie die in Art. 15 Abs. 1 lit. a) – h) DS-GVO aufgeführten Informationen enthält.

Es bleibt jedoch abzuwarten, ob ähnlich gelagerte Fälle vom BGH oder insbesondere vom EuGH, den Umfang des Auskunftsanspruchs des Art. 15 DS-GVO betreffend, anders beurteilt werden.

Fazit

Das LG Köln differenziert zwischen den personenbezogenen Daten, die der Verantwortliche vom Betroffenen erhalten hat und den Daten, die der Verantwortliche im Rahmen seines Unternehmenszweckes auf Basis der vorhandenen personenbezogenen Daten selbst erstellt hat.

Diese Interpretation ist auch praxisnah, da – angenommen es bestände eine uneingeschränkte Auskunftspflicht – ein Unternehmen sonst gezwungen wäre, sämtliche internen Verarbeitungsvorgänge über die betreffende Person wie zum Beispiel Analysen, Schriftverkehr und rechtliche Bewertungen, die das Unternehmen aufgrund der Natur seines Unternehmenszwecks selbst aufwändig erstellt hat, preiszugeben und damit im Zweifel auch Geschäftsgeheimnisse opfern müsste. Auch wäre eine solche Zusammenstellung mit erheblichem technischem Aufwand verbunden. Zu beachten ist die Abgrenzung zu Art. 13, 14 DS-GVO, die den Verantwortlichen ohne eine vorherige Handlung der betroffenen Person zur Informationspflicht gegenüber dieser verpflichten, wohingegen der Betroffene durch das Auskunftsrecht des Art. 15 DS-GVO erst nach einem vom Betroffenen geltend gemachten Auskunftsverlangen verpflichtet wird.

Anzumerken ist jedoch, dass eine darüberhinausgehende Auskunftserteilung geboten sein kann, wenn dem ebenfalls in der DS-GVO geregelten Transparenzgebot Rechnung getragen werden soll.

Unternehmen sollten ein Auskunftsersuchen zügig bearbeiten. Im Gegensatz zu Auskunftsersuchen nach dem § 34 BDSG a.F. gilt nun gem. Art. 12 Abs. 3 DS-GVO eine Frist von einem Monat. Diese soll jedoch vor allem komplexen Auskunftsanträgen vorbehalten sein. Wichtig ist, die Identität des Antragstellers zu überprüfen, da personenbezogene Daten selbstredend vertrauliche Informationen sind. Als Auskunftsersuchender sollte man nicht nur eine Auskunft nach Art. 15 Abs. 1 DS-GVO einholen, sondern auch direkt eine Kopie der Daten gemäß Art. 15 Abs. 3 DS-GVO.