BGH zur Reichweite des Auskunftsrechts nach der DSGVO: Betroffene haben Anspruch auf eine umfassende Auskunft

Vorinstanzen weisen Klage gegen Versicherungsunternehmern ab

1997 hatte ein Versicherungsnehmer (Kläger) mit dem Vorgänger des Versicherungsunternehmens (Beklagte) einen Vertrag über eine kapitalbildende Lebensversicherung abgeschlossen. Mit Schreiben vom Januar 2016 widersprach der Kläger dem Zustandekommen dieses Vertrags und forderte deshalb, dass die Beklagte ihm die gezahlten Versicherungsprämien zurückerstattet. Dabei machte der Kläger eine Prämienrückzahlung in Höhe von rund 3’000 Euro zuzüglich Nebenforderungen geltend.

Des Weiteren verlangte er eine umfassende Auskunft über seine gespeicherten Daten sowie eine eidesstattliche Versicherung der Vollständigkeit und Richtigkeit der bereits erteilten Auskunft. Der Kläger verlangte dabei Auskunft über die gesamte Korrespondenz der Parteien, inklusive der Daten des vollständigen Prämienkontos, Zweitschriften und Nachträge zum Versicherungsschein, sowie Telefon-, Gesprächs- und Bewertungsvermerke der Beklagten zum Versicherungsverhältnis.

Das Versicherungsunternehmen erteilte anschliessend mehrfach Auskunft, welche der Kläger aber als unvollständig empfand. Die beklagte Versicherung weigerte sich aber weiterreichende Auskünfte zu gewähren, da diese ihres Erachtens nicht vom Auskunftsrecht nach Art. 15 Datenschutz-Grundverordnung (DSGVO) erfasst seien.

Das erstinstanzliche Amtsgericht Brühl sowie das Landgericht Köln (LG Köln) (siehe LG Köln, Urteil vom 19. Juni 2019 – 26 S 13/18) als Vorinstanzen wiesen die anschliessende Klage um Auskunftserteilung ab. Das LG Köln vertrat die Ansicht, dass das Versicherungsunternehmen bereits eine vollständige Auskunft erteilt hatte. Hinsichtlich der Daten, die der Kläger zusätzlich fordere, habe er keinen Auskunftsanspruch.

Fazit des BGH: Zurückweisung des Rechtsstreits an Vorinstanz

Der BGH widerspricht dem Landgericht Köln im vorliegend besprochenen Urteil, weil dieses einerseits den Begriff personenbezogene Daten falsch ausgelegt hatte. Aus diesem Grund hat er den Rechtsstreit zur Neubeurteilung an die Vorinstanz zurückgewiesen. Begründet hat er dies im Einzelnen wie folgt:

Weite Auslegung des Begriffs personenbezogene Daten

Der BGH beginnt seine Analyse mit dem Zweck des Auskunftsrechts, welchen er in zwei Aspekte unterteilt:

• Erstens soll sich die betroffene Person der Datenspeicherung bewusst sein.
• Zweitens soll sie über die Möglichkeit verfügen, die Rechtmässigkeit der Verarbeitung überprüfen zu können. Ziel ist, dass sie sich vergewissern kann, dass die sie betreffenden Daten der Wahrheit entsprechen und korrekt verarbeitet werden.

Um die Reichweite von Art. 15 DSGVO diesem Zweck entsprechend richtig zu erfassen, ist entscheidend, was alles zu den „personenbezogenen Daten“ gehört. Zunächst statuierte der BGH, dass der Begriff der personenbezogenen Daten gemäss Art. 4 Nr. 1 DSGVO weit auszulegen sei. Dabei stützt sich der BGH auf die Rechtsprechung und die Definition des Europäischen Gerichtshofs (EuGH): Der Begriff der personenbezogenen Daten ist nicht auf sensible oder private Informationen beschränkt. Er erfasst alle Informationen über die auskunftsersuchende Person. Massgebend ist nur, dass die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

Das Auskunftsrecht umfasst daher gemäss BGH potenziell alle Arten von Informationen, die in Stellungnahmen oder Beurteilungen enthalten sind, sofern sich die Informationen auf eine bestimmte Person beziehen. Haben Daten einen so verstandenen Personenbezug, muss der Auskunftsschuldner umfassend über ihr Vorhandensein Auskunft erteilen. Hierbei sind gemäss BGH auch subjektive Einschätzungen der Beklagten vom Anspruch erfasst, weil deren Ausklammerung im Gesetz keine Stütze finde.

Es sei daher unzulässig, den Begriff personenbezogene Daten im Zusammenhang mit Art. 15 DSGVO auf „signifikante biografische Informationen“ zu verkürzen, welche „im Vordergrund“ des jeweiligen Dokuments stehen. Dies hatte das LG Köln gestützt auf eine Lehrmeinung aber getan. Nach Auffassung des BGH sei dies mit der Rechtsprechung des EuGH „ersichtlich nicht zu vereinbaren“ (der BGH bezieht sich hier auf das Nowak Urteil, siehe EuGH, Urteil vom 20. Dezember 2017, C-434/16, nach welchem auch Anmerkungen des Prüfers zu den Antworten eines «Prüflings» „personenbezogene Daten“ darstellen).

Auch interne Vorgänge sind vom Auskunftsrecht erfasst

Gesondert befasste sich der BGH mit der Fragestellung, ob sich das Auskunftsrecht auch auf interne Vermerke und die interne Kommunikation innerhalb des Versicherungsunternehmens bezieht. Damit würde beispielsweise auch die Kommunikation zwischen verschiedenen Abteilungen erfasst werden.

Der BGH gelangte dabei zum Schluss, dass das Auskunftsrecht sich auf interne Vermerke des Versicherungsunternehmens erstreckt, wenn diese Informationen über den Auskunftsersuchenden enthalten. Das sei beispielsweise bei Vermerken gegeben, welche festhalten, wie sich der Kläger gegenüber dem Versicherungsunternehmen geäussert hat. Die Form der Kommunikation ist dabei gemäss BGH unerheblich; telefonische Äusserung und persönliche Gespräche werden erfasst. Auch Vermerke des Versicherungsunternehmens über den Gesundheitszustand des Klägers enthalten personenbezogene Daten und fallen somit unter den Auskunftsanspruch. Entgegen der Ansicht der Vorinstanz gibt es laut BGH bei Art. 15 Abs. 1 DSGVO keine Ausnahmen vom Auskunftsrecht für „interne Vorgänge“. Dieser Begriff sei in diesem Zusammenhang irrelevant. Denn weder der Wortlaut noch der Sinn und Zweck der Vorschrift liessen auf eine solche Einschränkung schliessen.

Der BGH widersprach auch dem Argument, wonach eine Auskunft nicht erteilt werden müsse, wenn die betroffene Person bereits über die Informationen verfüge:

• Erstens fehle bei Art. 15 DSGVO eine Regelung wie bei Art. 13 Abs. 4 DSGVO, welche eine solche Ausnahme expliziert normiert.
• Zweitens sehe Art. 15 DSGVO auch wiederholte Auskunftsbegehren vor. Somit seien auch bekannte Daten miterfasst.

Folglich müssen beispielsweise auch die von der betroffenen Person selbst erstellten Schreiben sowie ihr bereits zur Verfügung gestellte Unterlagen unter Umständen erneut herausgegeben werden. Letzteres betraf im vorliegenden Fall Informationen zu Prämienzahlungen an die Beklagte, die durch den Kläger ausgelöst wurden und diesem daher bereits bekannt sein mussten. Schliesslich hielt der BGH noch fest, dass auch Korrespondenz mit Dritten, soweit sie Angaben zum Versicherungsnehmer aufweise, unter das Auskunftsrecht falle. Der Umfang der diesbezüglichen Auskunftserteilung war aber vor dem BGH nicht mehr strittig, weshalb keine weiterführenden Ausführungen hierzu nötig waren.

Nicht erfasst: rechtliche Beurteilungen und Daten über Provisionszahlungen

Geht es um interne Bewertungen des Versicherungsunternehmens zur Rechtslage im Hinblick auf mögliche Ansprüche des Klägers, muss – in Übereinstimmung mit der Rechtsprechung des EuGH – keine Auskunft hierüber erteilt werden. Denn Beurteilungen zur Rechtslage seien nicht als Information über den Betroffenen einzustufen und fielen somit nicht unter den Begriff personenbezogene Daten (der BGH verweist hier auf den Y.S. Entscheid: EuGH, Urteil vom 17. Juli 2014, C-141/12, in welchem festgehalten wurde, dass eine rechtliche Analyse zwar personenbezogene Daten enthalten kann, es sich bei der Analyse selbst aber nicht um personenbezogen Daten handelt). Daher sind Beurteilungen zur Rechtslage als solche nicht vom Auskunftsrecht erfasst. Im Übrigen gelte dasselbe für Daten über Provisionszahlungen der Versicherungsunternehmen an Vermittler. Diese Daten weisen nach Ansicht des BGH bzw. den von ihm zitierten Kriterien des EuGH keinen Bezug zur Person des Klägers auf und fallen auch nicht unter den Auskunftsanspruch.

BGH anerkennt gewisse Grenzen des Auskunftsrechts

Der BGH anerkennt allerdings auch, dass gewisse Grenzen beim Auskunftsrecht bestehen, nämlich dass der Auskunftsanspruch aufgrund einer Vorschrift in der DSGVO ausgeschlossen sein kann. Er verweist hierbei beispielhaft auf Art. 12 Abs. 5 Satz 2 DSGVO (offensichtlich unbegründete sowie exzessive Anträge) sowie Art. 15 Abs. 4 DSGVO (Einschränkungen des Rechts auf Kopie aufgrund von Drittinteressen). Der BGH äussert sich aber nicht näher hierzu, weil die Vorinstanz zu diesen Begrenzungen keine Feststellungen traf. Die Beklagte hatte aber auch geltend gemacht, dass im vorliegenden Fall keine Auskunft erteilt werden müsse, weil das Ersuchen einen unverhältnismässigen Aufwand verursache. Letzteres Argument konnte der BGH mangels ausreichender Tatsachenfeststellungen der beiden Vorinstanzen ebenfalls nicht beurteilen. Denn eine Beweiserhebung darf der BGH nicht vornehmen, als Revisionsgericht urteilt er einzig über Rechtsfragen. Daher wurde der Fall an die Vorinstanz zurückgewiesen. Ihr kommt die Aufgabe zu, weitere Beweise zu erheben und darüber zu entscheiden, ob das Auskunftsrecht möglicherweise im vorliegenden Fall ausgeschlossen ist.

Würdigung

Die Reichweite des Auskunftsrechts nach Art. 15 DSGVO ist nach wie vor umstritten. So ist es erfreulich, dass der BGH mit diesem Urteil etwas Klarheit geschaffen hat. Wenig überraschend wird der Begriff «personenbezogene Daten» weit ausgelegt. Dies entspricht der konstanten EuGH-Rechtsprechung. Dass auch subjektive Einschätzungen durch Mitarbeitende eines Unternehmens sowie Korrespondenz mit Dritten vom Auskunftsrecht erfasst sind, ist ebenfalls keine Überraschung.

Das Urteil floss bereits in die Praxis gewisser Oberlandesgerichte ein, die den Begriff Personendaten dem BGH folgend ebenfalls weit auslegen (siehe OLG München, Urteil vom 4. Oktober 2021 – 3 U 2906/20). Unternehmen, die sich auf den Standpunkt stellen, Anmerkungen in Kundendossiers oder kundenbezogene Korrespondenz enthielten keine Personendaten der Kunden, sollten daher umdenken und sich mit den Ausführungen des BGH zu den Grenzen des Auskunftsrechts auseinandersetzen. Immerhin vermittelt Art. 15 DSGVO nach dem vorliegenden Urteil aber keinen Anspruch, Abklärungen zur Rechtslage oder Informationen zu Provisionszahlungen an Dritte herauszuverlangen, wobei jedoch im Einzelfall geprüft werden muss, ob diese Informationen wirklich nicht personenbezogen sind. Ebenfalls sollten sich Unternehmen überlegen, wann sie Anträge als offensichtlich unbegründet bzw. exzessiv zurückweisen können sowie welche Drittinteressen bei einem Auskunftsanspruch des Kunden tangiert sein könnten.

Die Frage, ob vorliegend auch der unverhältnismässige Aufwand des verpflichteten Unternehmens einer Auskunftserteilung entgegengehalten werden konnte, liess der BGH offen, weil der Sachverhalt diesbezüglich illiquid war. Bereits dass der BGH diese Ausnahme anerkennt, ist aber bemerkenswert, denn der BGH betont gleichzeitig, dass Einschränkungen zum Auskunftsrecht in der DSGVO vorgesehen sein müssen. Eine Einschränkung der Auskunftserteilung aufgrund unverhältnismässigen Aufwands des Verpflichteten ist – im Unterschied zu bspw. der entsprechenden Ausnahme von den Informationspflichten nach Art. 14 Abs. 5 DSGVO – nicht vorgesehen. In diesem Zusammenhang kann bemerkt werden, dass das schweizerische Bundesgericht zum Auskunftsanspruch nach Art. 8 DSG jüngst in ähnlicher Weise festgehalten hat, dass Auskunftsersuchen bei einer rechtskonformen Gestaltung der Datensammlung in aller Regel zu keiner grossen Mehrbelastung für den Verpflichteten führen sollen (siehe dazu: MLL-News vom 4. Februar 2021).

Aber sowohl unter Geltung der DSGVO als auch des DSG dürfte das Argument einen schweren Stand haben, das Auskunftsbegehren führe zu unverhältnismässigem Aufwand, wenn Unternehmen keine angemessenen Prozesse für deren Beantwortung implementiert haben oder diesem ein zu restriktives Verständnis des Begriffs personenbezogener Daten zugrunde liegt. Verantwortliche sind daher gut beraten, von einem weiten Umfang des Auskunftsrechts auszugehen, ihre Prozesse entsprechend auszurichten und sich ein Argumentarium für eine Begrenzung des Anspruchs im Einzelfall zurechtzulegen.

Weitere Informationen:

• BGH, Urteil vom 15. Juni 2021, IV ZR 576/19
• EuGH, Urteil vom 20. Dezember 2017, C-434/16
• EuGH, Urteil vom 17. Juli 2014, C-141/12
• OLG München, Urteil vom 4. Oktober 2021 – 3 U 2906/20
• LG Köln, Urteil vom 19. Juni 2019 – 26 S 13/18
• MLL-News vom 4. Februar 2021: Bundesgericht: Umfang des Auskunftsrechts nach Art. 8 DSG umfasst keine Erinnerungen
• Datenschutz-Grundverordnung (DSGVO)