Ihre Kontakte
Lukas Bühlmann
Michael Reinle
Das Landgericht (LG) Köln hat sich im Teilurteil vom 18.03.2019 über die Tragweite des Auskunftsrechts nach Art. 15 DSGVO und des daraus fliessenden Rechts auf Kopie geäussert. Das Gericht bediente sich dabei einer engen Auslegung des Auskunftsrechts: So soll Art. 15 DSGVO zwar sicherstellen, dass der Umfang und Inhalt der gespeicherten und somit verarbeiteten personenbezogenen Daten durch die Betroffenen beurteilt werden kann. Dies verlange jedoch keinen Auskunftsanspruch über sämtliche internen Vorgänge oder Kopien des Schriftverkehrs mit der betroffenen Person, der dieser bereits bekannt ist. Das Urteil reiht sich in eine intensiv geführte Diskussion über den konkreten Gehalt des datenschutzrechtlichen Auskunftsrechts ein. Angesichts des divergierenden Meinungsstandes zu dieser Frage sind anderslautende Entscheide in naher Zukunft nicht ausgeschlossen. Längerfristig ist ein höchstrichterliches Urteil zur Tragweite von Art. 15 DSGVO aufgrund der hohen praktischen Relevanz des Auskunftsrechts unabdingbar.
Zum Sachverhalt
Die Klägerin hatte mit der Beklagten, einem Versicherungsunternehmen, zwei Lebensversicherungsverträge abgeschlossen und verlangte von dieser im Hinblick auf eine anstehende Beitragserhöhung Auskunft nach Art 15 Abs. 1 DSGVO (bzw. nach § 34 des deutschen Datenschutzgesetzes (BDSG)) über die zu ihrer Person gespeicherten Daten. Die ihr daraufhin von der Versicherung übermittelten Daten, hielt die Klägerin jedoch für unzureichend und unvollständig, weil ihr interne Beratungsprotokolle und Mitarbeitervermerke vorenthalten wurden.
In der Folge verlangte die Versicherungsnehmerin vom Versicherungsunternehmen auf dem Wege der Stufenklage eine vollständige Datenauskunft über die bei der Beklagten zu ihrer Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen. Ebenso seien ihr die Empfänger bzw. die Kategorien von Empfängern, an welche diese Daten weitergegeben wurden, offenzulegen und Auskunft über die Zwecke der Speicherung zu erteilen.
Umstrittene Tragweite des Auskunftsrechts und des Rechts auf Kopie
Nach Art. 15 Abs. 1 DSGVO hat die von einer Datenverarbeitung betroffene Person das Recht, vom Verantwortlichen Auskunft darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten, insbesondere bezüglich der Verarbeitungszwecke, der Kategorien personenbezogener Daten, die verarbeitet werden, der Empfänger der personenbezogenen Daten und der geplanten Dauer der Speicherung. Art. 15 Abs. 3 DSGVO ergänzt dieses Auskunftsrecht mit der Verpflichtung des Verantwortlichen, eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Begrenzt wird dieses Recht auf Erhalt einer Kopie durch die Rechte und Freiheiten anderer Personen, die dadurch nicht beeinträchtigt werden dürfen (Art. 15 Abs. 4 DSGVO).
Da sich der weit gefasste Wortlaut von Art. 15 DSGVO darüber ausschweigt, was der Verantwortliche in der Praxis genau zur Verfügung stellen muss, gehen die Meinungen über die Reichweite des Anspruchs auf Auskunftserteilung und Aushändigung einer Kopie entsprechend weit auseinander. So wird in Bezug auf den Anspruch auf Aushändigung einer Kopie nach Art. 15 Abs. 3 DSGVO bisweilen die Meinung vertreten, dass die betroffene Person eine Kopie des vollständigen Dokuments (ggf. mit der Möglichkeit der Unkenntlichmachung sensibler Passagen oder Stellen, durch welche Dritte beeinträchtigt werden) verlangen kann. Diese weite Interpretation kommt einer eigentlichen Aktenherausgabepflicht des Verantwortlichen sehr nahe und stünde folglich jeglicher Form der Aufbereitung der herauszugebenden Daten und Informationen entgegen.
Andere Stimmen in der Literatur plädieren für eine enge Interpretation des Anspruchs auf Aushändigung einer Kopie, da ein eigentlicher Herausgabeanspruch – je nach Branche – einen unzumutbaren Aufwand darstellen oder gar gegen Verschwiegenheitspflichten verstossen könnte. So müssten Verantwortliche Kopien jedes einzelnen Dokuments, das ein und dieselbe Information (bspw. den Namen des Betroffenen) enthält, zur Verfügung stellen. Aus diesem Grund wird vertreten, dass Art. 15 Abs. 3 DSGVO keine Pflicht zur Vorlage der betreffenden Dokumente im Sinne einer systemischen Vollauswertung bzw. Vollkopie statuiert, sondern lediglich die Vorlage sämtlicher Personendaten und Informationen im Sinne einer aggregierten, überblickmässigen Zusammenfassung der verarbeiteten Daten und der in die Verarbeitung involvierten Systeme verlangt. Nach dieser Interpretation könnten Unternehmen somit auch durch Übermittlung der Daten in extrahierter Form – bspw. in einer Tabelle – die Ansprüche aus Art. 15 DSGVO rechtsgenügend erfüllen. Hierzu wird vereinzelt auch auf den Erwägungsgrund 63 Satz 1 der DSGVO verwiesen, der das Ziel des Auskunftsrechts darin sieht, dass sich die betroffene Person der Datenverarbeitung bewusst sein und deren Rechtmässigkeit überprüfen kann.
LG Köln: Auskunftsrecht in Bezug auf die verarbeiteten personenbezogenen Daten ist umfassend…
Mit Teilurteil vom 18.03.2019 (26 O 25/18) wies das LG Köln die Klage der Versicherungsnehmerin auf eine vollständige Datenauskunft ab, da der Klägerin – nachdem die Beklagte während des Prozesses wiederholt Auskünfte erteilt hat und der Rechtsstreit übereinstimmend für erledigt erklärt wurde – kein weitergehender Auskunftsanspruch zustehe. Das Gericht stellte zwar zunächst fest, dass der Klägerin gemäss Art. 15 Abs. 1 DSGVO ein umfassender Anspruch auf Auskunft über verarbeitete sie betreffende personenbezogene Daten zustehe. Dabei seien mit „personenbezogenen Daten“ nach Art. 4 Nr. 1 DSGVO alle Informationen gemeint, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Ferner stelle eine „Verarbeitung von Daten“ gemäss Art. 4 Nr. 2 DSGVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Daraus ergibt sich ein umfassendes Auskunftsrecht bezogen auf die verarbeiteten personenbezogenen Daten. Dieses beinhaltet personenbezogene Daten wie Namen oder Geburtsdatum sowie jegliche Merkmale, welche die Identifikation einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw. Nach diesen Grundsätzen und auf Grundlage der Erwägungsgründe seien auch ärztliche Unterlagen, Gutachten oder sonstige vergleichbare Mitteilungen anderer Quellen als „personenbezogene Daten“ im Sinne des Gesetzestextes zu verstehen.
…jedoch stellt nicht jeder interne Vorgang Verarbeitung im Sinne der DSGVO dar
Anschliessend betont das Gericht, dass sich der Auskunftsanspruch indes nicht auf sämtliche internen Verarbeitungen resp. Dokumente der Beklagten beziehe. Ausdrücklich nicht vom Auskunftsanspruch und somit vom Recht auf Kopie erfasst seien Vermerke durch Mitarbeiter sowie sämtlicher Schriftverkehr, welcher der betroffenen Person bereits bekannt ist. Ein solcher muss gemäss LG Köln nicht erneut ausgedruckt und übersendet werden. Auch rechtliche Bewertungen oder Analysen seien keine personenbezogenen Daten im Sinne der DSGVO und werden darum nicht vom Auskunftsrecht erfasst.
Gestützt wird diese Auffassung durch den Zweck von Art. 15 DSGVO, der nicht der vereinfachten Buchführung der betroffenen Personen dienen, sondern sicherstellen soll, dass die Betroffenen den Umfang und Inhalt der verarbeiteten personenbezogenen Daten beurteilen kann. Folgerichtig enthalte Art. 15 Abs. 3 DSGVO auch lediglich den Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Kopien von weitergehenden Unterlagen, wie beispielsweise die oben aufgeführten Vermerke von Mitarbeitenden, können von den betroffenen Personen daher nicht verlangt werden.
Im vorliegenden Fall habe das Unternehmen verschiedene Auskünfte und Informationen erteilt und angegeben, dass weitere personenbezogene Daten über die Klägerin nicht gespeichert seien bzw. verarbeitet wurden. Das Gericht stellte fest, dass alle zwingenden Angaben aus Art. 15 Abs. 1 lit. a – h DSGVO in den Auskünften enthalten seien. Dazu gehören u.a. die die Verarbeitungszwecke, Kategorien von personenbezogenen Daten, die Empfänger der Daten, die Speicherdauer, das Bestehen der Betroffenenrechte etc.
Zusätzlich monierte das Gericht in verfahrensrechtlicher Hinsicht, dass ein substantiierter Vortrag der Klägerin darüber, welche zusätzlichen Informationen seitens des Unternehmens noch verarbeitet worden seien könnten, ausgeblieben ist. Insofern seien auch keine konkreten Anhaltspunkte über die Unvollständigkeit der erteilten Auskunft vorhanden.
Würdigung und Ausblick
Im Ergebnis gelangt das LG Köln mit Bezug auf den konkreten Gegenstand des Auskunftsrechts bzw. Anspruchs auf Kopie nach Art. 15 DSGVO zu einer vergleichsweisen engen Auslegung, wonach ganze Gutachten und andere Dokumente nicht von diesem Anspruch erfasst sind, sondern nur die darin enthaltenen Personendaten. Nach dem LG Köln genügt es somit, die personenbezogenen Daten entsprechend zusammenzufassen bzw. aufzubereiten, ohne dass Kopien sämtlicher Dokumente offengelegt werden müssen.
Die enge Auslegung von Art. 15 DSGVO durch das LG Köln dürfte in der Praxis von vielen Verantwortlichen begrüsst werden, da bei einer extensiven Leseart des Anspruchs ein schwer zu bewältigender administrativer Aufwand befürchtet wird. Das LG Köln steht mit seiner engen Auslegung von Art. 15 DSGVO nicht alleine da und bestätigt mit seinem Urteil grundsätzlich die frühere Rechtsprechung des OLG Köln, welche sich allerdings noch auf die Rechtlage vor dem Inkrafttreten der DSGVO am 25. Mai 2018 bezog. Auch diese Rechtsprechung sprach dem gesetzlich vorgesehenen Auskunftsanspruch den Gehalt eines umfassenden Anspruchs auf Aktenherausgabe ab.
Von Seiten gewisser Aufsichtsbehörden erhält die restriktive Auslegung von Art. 15 DSGVO ebenfalls Zuspruch. So hält das Bayerische Landesamt für Datenschutzaufsicht in seinem Tätigkeitsbericht ebenfalls fest, dass das Auskunftsrecht über gespeicherte personenbezogene Daten keinen allgemeinen Anspruch auf Kopie sämtlicher Dokumente oder Akten begründet. So verlangt Art. 15 Abs. 3 DSGVO dem Wortlaut nach nur eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Ein Anspruch auf eine Kopie der betreffenden Akten oder weiteren (internen) Unterlagen, in denen bspw. der Name der betroffenen Person oder andere Informationen über diese enthalten sind, sei daraus nicht abzuleiten (siehe dazu S. 46 f. des Tätigkeitsberichts).
Wegen der gleichgelagerten Regelung in Art. 15 Abs. 1 DSGVO im Vergleich zu Art. 12 der Vorgängerrichtlinie 95/46/EG wird bisweilen auch auf die unter dem damaligen Recht vom EuGH herangezogenen Massstäbe verwiesen. So entscheid der EuGH in Bezug auf das Auskunftsrecht eines Drittstaatsangehörigen gegenüber der niederländischen Ausländerbehörde, dass das Auskunftsrecht nicht darauf gerichtet sei, Zugang zu internen Verwaltungsdokumenten (in casu die Entwurfsschrift der ablehnenden Entscheidung über seinen Aufenthaltsantrag) sicherzustellen. Der Antragsteller könne daher keine Kopie der Entwurfsschrift, sondern lediglich eine vollständige Übersicht über die in der Entwurfsschrift enthaltenen personenbezogenen Daten verlangen (siehe dazu EuGH Urteile vom 17. Juli 2014 (C-141/12 und C-372/12)).
Es ist jedoch hervorzuheben, dass es sich beim vorliegenden Teilurteil des LG Köln um ein erstinstanzliches Urteil handelt und eine entsprechende höchstrichterliche Klarstellung nach wie vor aussteht. Angesichts des divergierenden Meinungsstands im Schrifttum kann eine letztinstanzliche Entscheidung auch anders ausfallen, als das vorliegende Teilurteil des LG Köln. Dies insbesondere auch deshalb, weil sich das LG Köln an keiner Stelle mit der bestehenden Doktrin auseinandersetzte. In der Lehre wird vereinzelt auch verlangt, dass unter gewissen Voraussetzungen auch eine Vollauskunft/Vollkopie möglich sein muss. Insbesondere dann, wenn überwiegende berechtigte Interessen durch die betroffene Person schlüssig dargelegt werden. Des Weiteren hat das Landesarbeitsgericht Baden-Württemberg Ende 2018 ein Urteil gefällt, welches dem vorliegenden Entscheid angesichts seiner sehr weitgehenden Interpretation von Art. 15 DSGVO und des darin enthaltenen Rechts auf Erhalt einer Kopie personenbezogener Daten diametral entgegensteht. Folglich wird den Unsicherheiten in Bezug auf den Umfang des Auskunftsrechts und dem sich daraus ergebenden Recht auf Kopie mit dem vorliegenden Entscheid kein Ende gesetzt. Deshalb sind Auskunftsbegehren über sensible Interna, weiterhin stets im Einzelfall und mit Blick auf branchenspezifische Besonderheiten zu prüfen.
Weitere Informationen:
