BGH zur Reichweite des Auskunftsrechts nach der DSGVO: Betroffene haben Anspruch auf eine umfassende Auskunft


Ihre Kontakte

Die Reichweite des Auskunftsrechts nach der DSGVO ist immer wieder umstritten, war nun aber jüngst Gegenstand einer Entscheidung des deutschen Bundesgerichtshofs (BGH). Der BGH hat mit diesem Urteil das Auskunftsrecht konkretisiert und damit etwas zur Rechtssicherheit beigetragen. Der BGH orientiert sich wenig überraschend an der Rechtsprechung des EuGH, die den Begriff «personenbezogene Daten» und damit den Umfang des Auskunftsrechts weit auslegt. Auch über subjektive Einschätzungen durch Mitarbeiter des Verantwortlichen ist Auskunft zu erteilen, wenn diese sich auf eine Person beziehen. Im vorliegenden Fall verstiess ein Versicherungsunternehmen daher gegen die DSGVO, weil es einem Versicherungsnehmer nicht die volle Auskunft erteilte. Immerhin vermittelt Art. 15 DSGVO nach dem vorliegenden Urteil aber keinen Anspruch, Abklärungen zur Rechtslage oder Informationen zu Provisionszahlungen an Dritte herauszuverlangen.

Vorinstanzen weisen Klage gegen Versicherungsunternehmern ab

1997 hatte ein Versicherungsnehmer (Kläger) mit dem Vorgänger des Versicherungsunternehmens (Beklagte) einen Vertrag über eine kapitalbildende Lebensversicherung abgeschlossen. Mit Schreiben vom Januar 2016 widersprach der Kläger dem Zustandekommen dieses Vertrags und forderte deshalb, dass die Beklagte ihm die gezahlten Versicherungsprämien zurückerstattet. Dabei machte der Kläger eine Prämienrückzahlung in Höhe von rund 3’000 Euro zuzüglich Nebenforderungen geltend.

Des Weiteren verlangte er eine umfassende Auskunft über seine gespeicherten Daten sowie eine eidesstattliche Versicherung der Vollständigkeit und Richtigkeit der bereits erteilten Auskunft. Der Kläger verlangte dabei Auskunft über die gesamte Korrespondenz der Parteien, inklusive der Daten des vollständigen Prämienkontos, Zweitschriften und Nachträge zum Versicherungsschein, sowie Telefon-, Gesprächs- und Bewertungsvermerke der Beklagten zum Versicherungsverhältnis.

Das Versicherungsunternehmen erteilte anschliessend mehrfach Auskunft, welche der Kläger aber als unvollständig empfand. Die beklagte Versicherung weigerte sich aber weiterreichende Auskünfte zu gewähren, da diese ihres Erachtens nicht vom Auskunftsrecht nach Art. 15 Datenschutz-Grundverordnung (DSGVO) erfasst seien.

Das erstinstanzliche Amtsgericht Brühl sowie das Landgericht Köln (LG Köln) (siehe LG Köln, Urteil vom 19. Juni 2019 – 26 S 13/18) als Vorinstanzen wiesen die anschliessende Klage um Auskunftserteilung ab. Das LG Köln vertrat die Ansicht, dass das Versicherungsunternehmen bereits eine vollständige Auskunft erteilt hatte. Hinsichtlich der Daten, die der Kläger zusätzlich fordere, habe er keinen Auskunftsanspruch.

Fazit des BGH: Zurückweisung des Rechtsstreits an Vorinstanz

Der BGH widerspricht dem Landgericht Köln im vorliegend besprochenen Urteil, weil dieses einerseits den Begriff personenbezogene Daten falsch ausgelegt hatte. Aus diesem Grund hat er den Rechtsstreit zur Neubeurteilung an die Vorinstanz zurückgewiesen. Begründet hat er dies im Einzelnen wie folgt:

Weite Auslegung des Begriffs personenbezogene Daten

Der BGH beginnt seine Analyse mit dem Zweck des Auskunftsrechts, welchen er in zwei Aspekte unterteilt:

  • Erstens soll sich die betroffene Person der Datenspeicherung bewusst sein.
  • Zweitens soll sie über die Möglichkeit verfügen, die Rechtmässigkeit der Verarbeitung überprüfen zu können. Ziel ist, dass sie sich vergewissern kann, dass die sie betreffenden Daten der Wahrheit entsprechen und korrekt verarbeitet werden.

Um die Reichweite von Art. 15 DSGVO diesem Zweck entsprechend richtig zu erfassen, ist entscheidend, was alles zu den „personenbezogenen Daten“ gehört. Zunächst statuierte der BGH, dass der Begriff der personenbezogenen Daten gemäss Art. 4 Nr. 1 DSGVO weit auszulegen sei. Dabei stützt sich der BGH auf die Rechtsprechung und die Definition des Europäischen Gerichtshofs (EuGH): Der Begriff der personenbezogenen Daten ist nicht auf sensible oder private Informationen beschränkt. Er erfasst alle Informationen über die auskunftsersuchende Person. Massgebend ist nur, dass die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

Das Auskunftsrecht umfasst daher gemäss BGH potenziell alle Arten von Informationen, die in Stellungnahmen oder Beurteilungen enthalten sind, sofern sich die Informationen auf eine bestimmte Person beziehen. Haben Daten einen so verstandenen Personenbezug, muss der Auskunftsschuldner umfassend über ihr Vorhandensein Auskunft erteilen. Hierbei sind gemäss BGH auch subjektive Einschätzungen der Beklagten vom Anspruch erfasst, weil deren Ausklammerung im Gesetz keine Stütze finde.

Es sei daher unzulässig, den Begriff personenbezogene Daten im Zusammenhang mit Art. 15 DSGVO auf „signifikante biografische Informationen“ zu verkürzen, welche „im Vordergrund“ des jeweiligen Dokuments stehen. Dies hatte das LG Köln gestützt auf eine Lehrmeinung aber getan. Nach Auffassung des BGH sei dies mit der Rechtsprechung des EuGH „ersichtlich nicht zu vereinbaren“ (der BGH bezieht sich hier auf das Nowak Urteil, siehe EuGH, Urteil vom 20. Dezember 2017, C-434/16, nach welchem auch Anmerkungen des Prüfers zu den Antworten eines «Prüflings» „personenbezogene Daten“ darstellen).

Auch interne Vorgänge sind vom Auskunftsrecht erfasst

Gesondert befasste sich der BGH mit der Fragestellung, ob sich das Auskunftsrecht auch auf interne Vermerke und die interne Kommunikation innerhalb des Versicherungsunternehmens bezieht. Damit würde beispielsweise auch die Kommunikation zwischen verschiedenen Abteilungen erfasst werden.

Der BGH gelangte dabei zum Schluss, dass das Auskunftsrecht sich auf interne Vermerke des Versicherungsunternehmens erstreckt, wenn diese Informationen über den Auskunftsersuchenden enthalten. Das sei beispielsweise bei Vermerken gegeben, welche festhalten, wie sich der Kläger gegenüber dem Versicherungsunternehmen geäussert hat. Die Form der Kommunikation ist dabei gemäss BGH unerheblich; telefonische Äusserung und persönliche Gespräche werden erfasst. Auch Vermerke des Versicherungsunternehmens über den Gesundheitszustand des Klägers enthalten personenbezogene Daten und fallen somit unter den Auskunftsanspruch. Entgegen der Ansicht der Vorinstanz gibt es laut BGH bei Art. 15 Abs. 1 DSGVO keine Ausnahmen vom Auskunftsrecht für „interne Vorgänge“. Dieser Begriff sei in diesem Zusammenhang irrelevant. Denn weder der Wortlaut noch der Sinn und Zweck der Vorschrift liessen auf eine solche Einschränkung schliessen.

Der BGH widersprach auch dem Argument, wonach eine Auskunft nicht erteilt werden müsse, wenn die betroffene Person bereits über die Informationen verfüge:

  • Erstens fehle bei Art. 15 DSGVO eine Regelung wie bei Art. 13 Abs. 4 DSGVO, welche eine solche Ausnahme expliziert normiert.
  • Zweitens sehe Art. 15 DSGVO auch wiederholte Auskunftsbegehren vor. Somit seien auch bekannte Daten miterfasst.

Folglich müssen beispielsweise auch die von der betroffenen Person selbst erstellten Schreiben sowie ihr bereits zur Verfügung gestellte Unterlagen unter Umständen erneut herausgegeben werden. Letzteres betraf im vorliegenden Fall Informationen zu Prämienzahlungen an die Beklagte, die durch den Kläger ausgelöst wurden und diesem daher bereits bekannt sein mussten. Schliesslich hielt der BGH noch fest, dass auch Korrespondenz mit Dritten, soweit sie Angaben zum Versicherungsnehmer aufweise, unter das Auskunftsrecht falle. Der Umfang der diesbezüglichen Auskunftserteilung war aber vor dem BGH nicht mehr strittig, weshalb keine weiterführenden Ausführungen hierzu nötig waren.

Nicht erfasst: rechtliche Beurteilungen und Daten über Provisionszahlungen

Geht es um interne Bewertungen des Versicherungsunternehmens zur Rechtslage im Hinblick auf mögliche Ansprüche des Klägers, muss – in Übereinstimmung mit der Rechtsprechung des EuGH – keine Auskunft hierüber erteilt werden. Denn Beurteilungen zur Rechtslage seien nicht als Information über den Betroffenen einzustufen und fielen somit nicht unter den Begriff personenbezogene Daten (der BGH verweist hier auf den Y.S. Entscheid: EuGH, Urteil vom 17. Juli 2014, C-141/12, in welchem festgehalten wurde, dass eine rechtliche Analyse zwar personenbezogene Daten enthalten kann, es sich bei der Analyse selbst aber nicht um personenbezogen Daten handelt). Daher sind Beurteilungen zur Rechtslage als solche nicht vom Auskunftsrecht erfasst. Im Übrigen gelte dasselbe für Daten über Provisionszahlungen der Versicherungsunternehmen an Vermittler. Diese Daten weisen nach Ansicht des BGH bzw. den von ihm zitierten Kriterien des EuGH keinen Bezug zur Person des Klägers auf und fallen auch nicht unter den Auskunftsanspruch.

BGH anerkennt gewisse Grenzen des Auskunftsrechts

Der BGH anerkennt allerdings auch, dass gewisse Grenzen beim Auskunftsrecht bestehen, nämlich dass der Auskunftsanspruch aufgrund einer Vorschrift in der DSGVO ausgeschlossen sein kann. Er verweist hierbei beispielhaft auf Art. 12 Abs. 5 Satz 2 DSGVO (offensichtlich unbegründete sowie exzessive Anträge) sowie Art. 15 Abs. 4 DSGVO (Einschränkungen des Rechts auf Kopie aufgrund von Drittinteressen). Der BGH äussert sich aber nicht näher hierzu, weil die Vorinstanz zu diesen Begrenzungen keine Feststellungen traf. Die Beklagte hatte aber auch geltend gemacht, dass im vorliegenden Fall keine Auskunft erteilt werden müsse, weil das Ersuchen einen unverhältnismässigen Aufwand verursache. Letzteres Argument konnte der BGH mangels ausreichender Tatsachenfeststellungen der beiden Vorinstanzen ebenfalls nicht beurteilen. Denn eine Beweiserhebung darf der BGH nicht vornehmen, als Revisionsgericht urteilt er einzig über Rechtsfragen. Daher wurde der Fall an die Vorinstanz zurückgewiesen. Ihr kommt die Aufgabe zu, weitere Beweise zu erheben und darüber zu entscheiden, ob das Auskunftsrecht möglicherweise im vorliegenden Fall ausgeschlossen ist.

Würdigung

Die Reichweite des Auskunftsrechts nach Art. 15 DSGVO ist nach wie vor umstritten. So ist es erfreulich, dass der BGH mit diesem Urteil etwas Klarheit geschaffen hat. Wenig überraschend wird der Begriff «personenbezogene Daten» weit ausgelegt. Dies entspricht der konstanten EuGH-Rechtsprechung. Dass auch subjektive Einschätzungen durch Mitarbeitende eines Unternehmens sowie Korrespondenz mit Dritten vom Auskunftsrecht erfasst sind, ist ebenfalls keine Überraschung.

Das Urteil floss bereits in die Praxis gewisser Oberlandesgerichte ein, die den Begriff Personendaten dem BGH folgend ebenfalls weit auslegen (siehe OLG München, Urteil vom 4. Oktober 2021 – 3 U 2906/20). Unternehmen, die sich auf den Standpunkt stellen, Anmerkungen in Kundendossiers oder kundenbezogene Korrespondenz enthielten keine Personendaten der Kunden, sollten daher umdenken und sich mit den Ausführungen des BGH zu den Grenzen des Auskunftsrechts auseinandersetzen. Immerhin vermittelt Art. 15 DSGVO nach dem vorliegenden Urteil aber keinen Anspruch, Abklärungen zur Rechtslage oder Informationen zu Provisionszahlungen an Dritte herauszuverlangen, wobei jedoch im Einzelfall geprüft werden muss, ob diese Informationen wirklich nicht personenbezogen sind. Ebenfalls sollten sich Unternehmen überlegen, wann sie Anträge als offensichtlich unbegründet bzw. exzessiv zurückweisen können sowie welche Drittinteressen bei einem Auskunftsanspruch des Kunden tangiert sein könnten.

Die Frage, ob vorliegend auch der unverhältnismässige Aufwand des verpflichteten Unternehmens einer Auskunftserteilung entgegengehalten werden konnte, liess der BGH offen, weil der Sachverhalt diesbezüglich illiquid war. Bereits dass der BGH diese Ausnahme anerkennt, ist aber bemerkenswert, denn der BGH betont gleichzeitig, dass Einschränkungen zum Auskunftsrecht in der DSGVO vorgesehen sein müssen. Eine Einschränkung der Auskunftserteilung aufgrund unverhältnismässigen Aufwands des Verpflichteten ist – im Unterschied zu bspw. der entsprechenden Ausnahme von den Informationspflichten nach Art. 14 Abs. 5 DSGVO – nicht vorgesehen. In diesem Zusammenhang kann bemerkt werden, dass das schweizerische Bundesgericht zum Auskunftsanspruch nach Art. 8 DSG jüngst in ähnlicher Weise festgehalten hat, dass Auskunftsersuchen bei einer rechtskonformen Gestaltung der Datensammlung in aller Regel zu keiner grossen Mehrbelastung für den Verpflichteten führen sollen (siehe dazu: MLL-News vom 4. Februar 2021).

Aber sowohl unter Geltung der DSGVO als auch des DSG dürfte das Argument einen schweren Stand haben, das Auskunftsbegehren führe zu unverhältnismässigem Aufwand, wenn Unternehmen keine angemessenen Prozesse für deren Beantwortung implementiert haben oder diesem ein zu restriktives Verständnis des Begriffs personenbezogener Daten zugrunde liegt. Verantwortliche sind daher gut beraten, von einem weiten Umfang des Auskunftsrechts auszugehen, ihre Prozesse entsprechend auszurichten und sich ein Argumentarium für eine Begrenzung des Anspruchs im Einzelfall zurechtzulegen.

  

Weitere Informationen:


Artikel teilen



meistgelesen


Highlights

MLL Legal

MLL Legal ist eine der führenden Anwaltskanzleien in der Schweiz mit Büros in Zürich, Genf, Zug, Lausanne, London und Madrid. Wir beraten unsere Klienten in allen Bereichen des Wirtschaftsrechts und zeichnen uns insbesondere durch unsere erstklassige Branchenexpertise in technisch-innovativen Spezialgebieten, aber auch in regulierten Branchen aus.

MLL Legal

Newsletter

MLL-News 03/22 mit Beiträgen zum Digital Markets Act, Digital Services Act, PBV-Revision, Abmahnungen zu Google Fonts, Inbox-Adverting und vieles mehr.

Zugang MLL-News 03/22

Jetzt anmelden!

Unsere Geschichte

MLL Legal ist eine führende Schweizer Anwaltskanzlei, deren Geschichte bis ins Jahr 1885 zurückreicht. Die Kanzlei ist sowohl organisch als auch durch strategische Fusionen gewachsen, von denen die Jüngste am 1. Juli 2021 zwischen Meyerlustenberger Lachenal und FRORIEP vollzogen wurde.

Durch diesen Zusammenschluss hat sich MLL Legal zu einer der grössten Wirtschaftskanzleien der Schweiz mit über 150 Anwältinnen und Anwälten in vier Büros in der Schweiz entwickelt. Auch zwei Büros im Ausland, in London und Madrid, bieten Anlaufstellen vor Ort für Klientinnen und Klienten, die Beratung im Schweizer Wirtschaftsrecht suchen.

Die Kanzlei verfügt heutzutage über ein starkes internationales Profil und ein langjährig aufgebautes globales Netzwerk. MLL Legal vereint anerkannte Führungsqualitäten und Fachwissen in allen Bereichen des Schweizer und internationalen Wirtschaftsrechts.

Über uns

Publikationen

Hier geht’s zu unseren neuesten Publikationen

COVID-19

Lesen Sie alle unsere rechtlichen Updates zu den Auswirkungen von COVID-19 für Unternehmen.

COVID-19 Information

Offene Stellen

Sind Sie auf der Suche nach einer neuen Herausforderung?

Unsere talentierten und ambitionierten Teams sind von einer gemeinsamen Vision motiviert, erfolgreich zu sein. Wir schätzen eine offene und unkomplizierte Kommunikation über alle Ebenen der Organisation hinweg in einem unterstützenden Arbeitsumfeld.

Offene Stellen

Real Estate Legal Update

Hier gehts zum Real Estate Legal Update 01/24. Unser Real Estate Team hat wiederum Artikel in verschiedenen Gebieten verfasst, so dass hoffentlich für alle etwas Interessantes dabei ist. Wir wünschen viel Spass bei der Lektüre.

Registrieren Sie sich hier, um unser 2 x jährlich erscheinendes Real Estate Legal Update zu erhalten.

Unser Team

Unsere über 150 Anwältinnen und Anwälte unterstützen Sie dabei, den regulatorischen und technologischen Anforderungen im modernen globalen Wirtschaftsleben erfolgreich zu begegnen und ihre wirtschaftlichen Chancen zu nutzen.

Unser Team

Revision DSG

Auf unserer Themenseite rund um die Revision des Schweizerischen Datenschutzgesetzes finden Sie regelmässig aktualisierte und umfassende Informationen und Hilfsmittel. Es ist uns ein Anliegen, Sie bei der Implementierung der neuen Vorgaben zu unterstützen.

Revision DSG Themenseite

MLL Legal on Social Media

Folgen Sie uns auf LinkedIn.