Aktuell in der CR

Wie weit geht das Recht auf Auskunft und Kopie nach Art. 15 DSGVO? (Wybitul/Baus, CR 2019, 494)

Art. 15 DSGVO regelt nur ungenau, in welchem Umfang datenschutzrechtlich Verantwortliche Auskünfte erteilen und eine Kopie zur Verfügung stellen müssen. Nachdem eine sehr weitreichende Auslegung des LAG Baden-Württemberg für Aufsehen gesorgt hat, haben das LG Köln und zwei Datenschutzbehörden Art. 15 DSGVO mit guten Gründen deutlich restriktiver ausgelegt. Der Beitrag bietet eine unionsrechtlich autonome Auslegung von Art. 15 DSGVO (I.) und ordnet die Entscheidung des LG Köln ein (II.). Zudem wird für Unternehmen ein belastbarer Prozess samt Checkliste aufgezeigt (III.), mit dem Auskunftsanträge nach Art. 15 DSGVO rechtsicher erfüllt werden können.


I. Recht auf Auskunft und Kopie nach Art. 15 DSGVO

1. Recht auf Auskunft, Art. 15 Abs. 1 DSGVO

2. Recht auf Kopie, Art. 15 Abs. 3 DSGVO

a) Wortlaut

b) Systematik

c) Sinn und Zweck der Vorschrift

d) Ansatz der Datenschutzaufsicht in Bayern und Hessen

e) Kompetenzkonflikt zu nationalem Zivilprozessrecht

II. Ansatz des LG Köln

1. Der vom LG Köln entschiedene Fall

2. Keine erleichterte Buchführung

3. Analyse und Bewertung der Entscheidung

III. Prozess und Checkliste für einen Auskunftsanspruch

1. Vorstufe: Vorprüfung

a) Eingang und Fristenkontrolle

b) Überprüfung der Identität des Antragstellers

2. Stufe 1: Auskunft über einen erweiterten Stammdatensatz

3. Stufe 2: Erfüllung weitergehender Auskunftsanträge

4. Verringerung rechtlicher Risiken: Abstimmung mit zuständiger Datenschutzaufsichtsbehörde

5. Legal Tech Tools

VI. Ergebnis und Ausblick
 

I. Recht auf Auskunft und Kopie nach Art. 15 DSGVO

Der Transparenzgrundsatz ist ein Grundprinzip der DSGVO. Betroffene Personen sollen die Kontrolle über ihre eigenen Daten besitzen. Eine solche Kontrolle soll auch das Auskunftsrecht nach Art. 15 DSGVO ermöglichen. Denn betroffene Personen können nur dann effektiv gegen eine unzulässige Verarbeitung ihrer personenbezogenen Daten vorgehen, wenn sie über die Verarbeitung informiert sind.

1. Recht auf Auskunft, Art. 15 Abs. 1 DSGVO

Das Recht auf Auskunft soll es betroffenen Personen ermöglichen, eine Bestätigung darüber zu verlangen, ob ein datenschutzrechtlich Verantwortlicher ihre personenbezogenen Daten verarbeitet. Ist dies der Fall, hat die betroffene Person ein Recht auf Auskunft über diese personenbezogenen Daten und auf Mitteilung der in Art. 15 Abs. 1 lit. a bis lit. h DSGVO genannten „Kataloginformationen“. Bereits hier lässt der Wortlaut die Auslegung zu, dass sich die Auskunft nur auf die Kataloginformationen bezieht. Die Formulierung „Recht auf Auskunft“ lässt sich aber auch dahingehend auslegen, dass Art. 15 Abs. 1 DSGVO ein umfassenderes Auskunftsrecht meint und die Kataloginformationen nur als Beispiele aufzählt.

Etwas klarer ist die englische Sprachfassung zu Art. 15 Abs. 1 DSGVO, nach der der Verantwortliche der betroffenen Person „access to the personal data“ – also „Zugang zu den personenbezogenen Daten“ – gewähren soll. Dies spräche dafür, dass der Verantwortliche zum einen die Kataloginformationen mitteilen müsste. Zum anderen sollte er der betroffenen Person Zugang zu den verarbeiteten personenbezogenen Daten gewähren, soweit dies zur Verwirklichung des Rechts auf Transparenz zweckdienlich ist. Für diese Auslegung spricht auch Erwägungsgrund 63 Satz 4 DSGVO: „Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde.“Recht auf Kopie, Art. 15 Abs. 3 DSGVO.

2. Recht auf Kopie, Art. 15 Abs. 3 DSGVO

Auch die Regelung zum Recht auf Zurverfügungstellung einer Kopie nach Art. 15 Abs. 3 Satz 1 DSGVO lässt unterschiedliche Interpretationen zu.

a) Wortlaut

Die Vorschrift lautet wie folgt: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Der Wortlaut der Vorschrift bezieht sich auf die „gegenständlichen“, also möglicherweise auf die wesentlichen Informationen, die ein Verantwortlicher über eine betroffene Person verarbeitet. Zudem spricht Art. 15 Abs. 3 DSGVO von einer einzelnen „Kopie“ und nicht im Plural etwa von „umfassenden Kopien“.

Das LAG Baden-Württemberg hatte in seiner Entscheidung vom 20.12.2018 das dort beklagte Unternehmen auf der Grundlage von Art. 15 Abs. 3 Satz 1 DSGVO dazu verurteilt, „dem Kläger eine Kopie seiner personenbezogenen Leistungs- und Verhaltensdaten, die Gegenstand der von ihr vorgenommenen Verarbeitung sind, zur Verfügung zu stellen.“. Dies legt nahe, dass die Stuttgarter Richter eine weite Auslegung des Rechts auf Kopie zugrunde legten. Da der Tenor der Entscheidung in Bezug auf die zur Verfügung zu stellende Kopie leider nur den Wortlaut der Norm („Kopie“) wiedergibt, schafft das Urteil zu der Frage der genauen Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO wenig Klarheit.

b) Systematik

Letztlich spricht einiges dafür, dass sich das Recht auf Kopie (...)
 


Verlag Dr. Otto Schmidt vom 13.08.2019 17:15
Quelle: Verlag Dr. Otto Schmidt

zurück zur vorherigen Seite