Zum Auskunftsrecht aus Art. 15 DSGVO haben wir schon recht viele Beiträge veröffentlicht. Mit den Grundlagen beim Recht auf Auskunft haben wir uns in unserem Artikel vom 01.08.2019 im Rahmen unserer Serie zu den Betroffenenrechten ausführlich auseinandergesetzt.
In einer Reihe weiterer Beiträge haben wir uns jeweils mit Spezialfragen beschäftigt. Hierzu verweisen wir gerne auf folgende Veröffentlichungen:
- Fallstricke bei der Auskunft nach Art. 15 DSGVO
- Keine Auskunft nach Art. 15 DSGVO „aus Datenschutzgründen“?
- Weitere Urteile zur Reichweite des Auskunftsanspruchs
- Die Reichweite des Auskunftsanspruchs – der BGH hat geurteilt
- Frist für die Erteilung von Auskünften: Unverzüglich
- Recht auf Kopie: EuGH stärkt Auskunftsrecht ein weiteres Mal
- Auskunftsersuchen vor Löschbegehren – ist das schlau?
- Auskunft nach Art. 15 DSGVO – was ist eine Kopie?
In unserem heutigen Beitrag liefern wir einige Updates in Sachen Auskunftsrecht. Denn diese dürften Verantwortliche, die personenbezogene Daten verarbeiten und Auskunftsanfragen ausgesetzt sind, ganz besonders interessieren, um aufsichtsbehördliche Sanktionen oder Schadenersatzansprüche betroffener Personen zu vermeiden.
Folgende Highlights haben wir für Sie aus dem Informationsäther ausgesucht über die wir gerne berichten möchten:
- eine Entscheidung des LG Düsseldorf, mit der das Auskunftsrecht gemäß Art. 15 DSGVO als eine Marktverhaltensregel ausgelegt wird,
- einige Einzelfälle zum Auskunftsrecht, mit denen sich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) im Rahmen von Beschwerden betroffener Personen beschäftigten durfte,
- eine Praxishilfe unseres Berufsverbands Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) in Form einer Checkliste zur Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO.
Entscheidung des LG Düsseldorf vom 15.03.2024 zum Auskunftsrecht
Das LG Düsseldorf hat in seiner Entscheidung vom 15.03.2024 (Az.: 34 O 41/23) festgestellt, dass die Regelung zum Auskunftsanspruch aus Art. 15 DSGVO eine Marktverhaltensregel im Sinne des § 3a UWG (Gesetz gegen den unlauteren Wettbewerb) darstellt.
Was bedeutet diese Erkenntnis, soweit man sich dieser anschließt, nun für die verantwortlichen Stellen, wenn sie gegen den Art. 15 DSGVO verstoßen sollten? Nun, die Antwort darauf lautet:
Bei einem Verstoß gegen Art. 15 DSGVO drohen Verantwortlichen nicht nur aufsichtsbehördliche Sanktionen und gegebenenfalls Schadenersatzforderungen betroffener Personen gemäß Art. 82 Abs. 1 DSGVO. Auch Mitbewerber*innen und Verbraucherverbänden ist es danach erlaubt, mit Mitteln des UWG gegen den Verantwortlichen Stelle vorzugehen und diesen beispielsweise auf Beseitigung und Unterlassung gemäß § 8 UWG in Anspruch zu nehmen.
Interessant in diesem Zusammenhang dürfte es sein, dass der Bundesrat in seiner Plenarsitzung am 17. Mai 2024 (also sozusagen gerade eben) einen Gesetzentwurf auf den Weg gebracht hat, der vorsieht, dass Unternehmen nicht mehr nach dem UWG gegen Konkurrenten vorgehen können, wenn jene möglicherweise gegen datenschutzrechtliche Vorschriften wie die DSGVO verstoßen haben (hierzu siehe TOP 9 der Landesinitiativen). Der Gesetzentwurf wird nun der Bundesregierung vorgelegt, damit diese ihre Stellungnahme dazu abgeben kann. Danach gehen die beiden Vorlagen dem Bundestag zu. Dieser wird über die Gesetzesinitiative des Bundesrates entscheiden.
Inwiefern die Überlegungen, die in der vorgenannten Entscheidung des LG Düsseldorf noch Bestand haben werden, wenn das beabsichtigte Gesetz zur Regelung des Verhältnisses von Datenschutz und Wettbewerbsrecht verabschiedet wird und in Kraft tritt, wird sich nun zeigen müssen. Es lohnt sich, die Entwicklung zu beobachten.
Einzelfälle des BayLDA zum Auskunftsrecht
Das BayLDA veröffentlichte vor Kurzem seinen Tätigkeitsbericht (TB) für das Jahr 2023 und behandelt in diesem Bericht unter der Ziff. 5 des TB (Direktlink) einige Einzelfälle zum Auskunftsrecht, die unseres Erachtens praxisrelevant sind.
Ausnahme vom Auskunftsrecht gemäß § 34 Abs. 1 Nr. 2 BDSG
Nach der Feststellung des BayLDA lehnen einige Verantwortliche die Beantwortung eines Auskunftsersuchens gemäß Art. 15 DSGVO oft ab und begründen ihre Ablehnung mit der Ausnahme aus § 34 Abs. 1 Nr. 2 BDSG. Die Verantwortlichen haben jedoch hierbei nach Auffassung des BayLDA häufig übersehen, dass die Voraussetzungen der vorgenannten Norm kumulativ vorliegen müssten. Zudem haben sie teilweise die Voraussetzungen eines unverhältnismäßigen Aufwandes als gegeben angesehen, obwohl diese nach Auffassung des BayLDA nicht vorlagen. Da der aus Sicht der verantwortlichen Stelle „unverhältnismäßige“ Aufwand, letztlich auf nur rudimentäre Archivierungs- und Löschkonzepte bei den Verantwortlichen zurückzuführen sei und objektiv nicht bestätigt werden könne, war das BayLDA der Auffassung, dass die vorgenannte Ausnahme vom Auskunftsrecht nicht greifen könne.
Ausnahme vom Auskunftsrecht gemäß Art. 15 Abs. 4 DSGVO nach einem Identitätsdiebstahl
Auch bei einer Auskunft nach einem Identitätsdiebstahl ging es um eine Ausnahme vom Auskunftsrecht, die nach Auffassung der verantwortlichen Stelle diesmal jedoch aus Art. 15 Abs. 4 DSGVO resultieren sollte. Und auch hier hat sich die verantwortliche Stelle nach Auffassung des BayLDA geirrt, als sie vom Vorliegen der Voraussetzung des Art. 15 Abs. 4 DSGVO ausging und der betroffenen Person, die vom Identitätsdiebstahl betroffen war, Daten, die (auch) die unbefugte Person (Täter*in) betrafen, nicht übermitteln wollte.
Hier vertritt das BayLDA die Auffassung, dass in einem solchen Fall die Auskunft über die Daten, die Täter*innen betreffen, dem Opfer zu erteilen ist. Denn die Ausnahme gemäß Art. 15 Abs. 4 DS-GVO greift nur, sofern die Rechte und Freiheiten anderer Personen – der Täter*innen also – beeinträchtigt sind. Hierbei bedarf es jedoch gemäß dem BayLDA einer Abwägung zwischen den Rechten der betroffenen Personen (Täter*innen und Opfer). Bei der vorliegenden Konstellation fällt diese Abwägung regelmäßig zu Gunsten des Opfers aus mit der Folge, dass die Auskunft über Täter*innen nicht verweigert werden darf.
Auskunftsrecht und Löschungsersuchen nach dem Besuchen einer Webseite
Eine weitere Problematik, die das BayLDA im Zusammenhang mit der Erfüllung des Auskunftsanspruchs in seinem TB beschreibt, betrifft den Fall, bei dem die betroffenen Personen eine aus ihrer Sicht unzutreffend erteilte Auskunft rügten, da ihnen der Webseitenbetreiber mitgeteilt hätte, dass alleine mit der Angabe des Klarnamens und einer E-Mail-Adresse keine Auskünfte über etwaige Webseitenbesuche und damit einhergehende Datenverarbeitungen möglich wären. Zudem wurde durch die Verantwortlichen oft nur mitgeteilt, dass keine Daten zu der betroffenen Person vorliegen würden, obwohl die betroffene Person jeweils angegeben hatte, die Webseite des Verantwortlichen besucht zu haben, und laut Datenschutzinformationen dadurch Datenverarbeitungen stattgefunden haben.
Das BayLDA sieht die Verweigerung der Auskunft durch die verantwortliche Stelle in solchen Fällen regelmäßig als unzulässig an und sieht den Verantwortlichen jeweils in der Pflicht, weitere Identifikationsmerkmale abzufragen, um eine Zuordnung vornehmen und ein Auskunftsersuchen vollständig bearbeiten zu können. Solche Informationen könnten beispielsweise die IP-Adresse sein, mit der die betroffene Person zur fraglichen Zeit die Webseite besucht hat.
Ausnahme vom Auskunftsrecht gemäß Art. 12 Abs. 5 DSGVO bei exzessiven Auskunftsersuchen
Nicht immer war die Aufsicht auf der Seite der betroffenen Personen. Im TB wird von einem Fall berichtet, bei dem es um die Verweigerung einer Auskunft ging, weil der Antrag der betroffenen Person nach Auffassung des Verantwortlichen exzessiv war. Das BayLDA teilte in diesem Fall die Auffassung des Verantwortlichen und sah ebenfalls einen exzessiven Charakter des Antrags, der den Verantwortlichen gemäß Art. 12 Abs. 5 S. 2 lit. b DSGVO zur Ablehnung des Antrags berechtigte.
Der exzessive Charakter eines Antrags nach Art. 15 DSGVO kann sich nach Auffassung des BayLDA daraus ergeben, dass seitens der betroffenen Person die Rücknahme ihres Antrags gegen Zahlung einer Geldsumme in Aussicht gestellt wird.
Praxishilfe der GDD zum Auskunftsanspruch
In einer Praxishilfe zur Beantwortung von Auskunftsersuchen beschreibt die GDD in einer sehr übersichtlichen Form, welche Grundlagen beim Verantwortlichen konkret geschaffen werden müssen, um den Anspruch aus Art. 15 DSGVO rechtskonform erfüllen zu können.
Die Praxishilfe geht insbesondere darauf ein, welche Vorfeldaktivitäten beim Verantwortlichen umgesetzt werden sollten. Wertvolle Hinweise erteilt die GDD auch im Hinblick auf die Auslegung von Anträgen und macht gerade zum Vorliegen möglicher Ausnahmen vom Auskunftsrecht und entsprechender Auskunftsverweigerung, die – wie wir oben gesehen haben – oft problematisch werden können, praxistaugliche Vorschläge.
Fazit
Die Erfüllung des Auskunftsanspruchs stellt die Verantwortlichen erfahrungsgemäß vor große Schwierigkeiten. Das belegen neben den Fällen, mit denen sich die Aufsichtsbehörden nach entsprechenden Beschwerden betroffener Personen beschäftigen dürfen (siehe oben), auch die Erfahrungen, die wir in der Zusammenarbeit mit unseren Mandant*innen machen.).
Doch die Schwierigkeiten und Probleme im Zusammenhang mit der Sicherstellung des Auskunftsrechts sind in der Regel gut lösbar, wenn die Verantwortlichen sich insbesondere in organisatorischer Hinsicht gut aufstellen, bevor das erste Auskunftsersuchen eingeht, dabei auf die korrekte Umsetzung der DSGVO-Vorgaben zur Auskunft gegenüber betroffenen Personen achten und vor allem die verfügbaren Hilfestellungen in Anspruch nehmen.
Die bITs GmbH berät Ihre Kunden zu allen Themen des Datenschutzes und stellt auf Wunsch den externen Datenschutzbeauftragten.
Haben Sie weitere Fragen an uns? Gerne können Sie sich dazu an uns wenden. Hier finden Sie unsere Kontaktdaten. Unser Team stellt sich übrigens hier vor.