05.08.2022

Auskunftsrecht nach Art. 15 DSGVO

Seit Einführung der DSGVO im Mai 2018 ist die Reichweite des datenschutzrechtlichen Auskunftsanspruchs des Art. 15 DSGVO umstritten. Insbesondere ist bislang nicht geklärt, ob das Recht auf Auskunft (Abs. 1) und das Recht auf Erhalt einer Kopie der personenbezogenen Daten (Abs. 3) einen einheitlichen Anspruch bilden oder ob es zwei unterschiedliche Ansprüche sind. Speziell diese Abgrenzung ist jedoch von hoher praktischer Relevanz, weil sich für Verantwortliche die Frage stellt, ob sie im Falle der Geltendmachung eines Anspruchs auf Kopie (Abs. 3) diesen durch Übermittlung einer abstrakten Zusammenstellung der verarbeiteten Daten erfüllen können, also einer Kopie der Daten selbst, oder ob sie die Dokumente übermitteln müssen, welche die personenbezogenen Daten enthalten.

Die Rechtsprechung zur Auslegung von Art. 15 DSGVO ist nicht einheitlich.¹ In seinem Urteil vom 15.6.2021 bezog der BGH erstmalig zum Umfang des Auskunftsanspruch des Art. 15 DSGVO Stellung und bestätigte, dass die Norm einen sehr weiten Anwendungsbereich hat.² Ferner sei der Begriff der personenbezogenen Daten weit zu verstehen und umfasse auch interne Korrespondenz. Zwar bezieht der BGH bezüglich der rechtsdogmatischen Einordnung des Auskunftsrechts und des Rechts auf Kopie nicht explizit Stellung. Jedoch ist aus seinem Begriffsverständnis von personenbezogenen Daten und dem Inhalt der Entscheidung zu entnehmen, dass der BGH der Auffassung ist, dass Abs. 3 auch die Übermittlung von Kopien konkreter Dokumente erfasst.³

1 LAG Baden-Württemberg NZA-RR 2021, 410 Rn. 47.; OVG Münster Urt. v. 8.6.2021 – 16 A 1582/20, BeckRS 2021, 13156
2 NJW 2021, 2726 (Urteil); NJW 2021, 2692 (Besprechung des Urteils)
3 NJW 2021, 2692 Rn. 11.

Der europäische Datenschutzausschuss (EDSA) veröffentlichte am 18. Januar 2022 seine Leitlinie 01/2022 zum Auskunftsrecht.⁴ In dieser Leitlinie stellt er den Umfang des Auskunftsrechts und die Anforderungen an die Verantwortlichen dar. Die Reichweite des Auskunftsrecht ist auch nach Verständnis der EDSA sehr weit und umfasst grundsätzlich alle personenbezogenen Daten (z. B. vorhandene Papierdokumente, Gesprächsnotizen und Gesprächsaufzeichnungen, Aktivitätsprotokolle, Suchverläufe, Log-Files, IT-Vorfallsberichte). Nach Auffassung des EDSA ist das Auskunftsrecht in drei Bereiche aufzuteilen:

Bestätigung darüber, ob personenbezogene Daten der Person verarbeitet werden oder nicht,
Auskunft über die personenbezogenen Daten und
Auskunft über die Informationen über die Verarbeitung (siehe Auflistung des Art. 15 Abs. 1 DSGVO).

Grundsätzlich sind danach Anfragen, sofern nicht explizit weniger oder anderes gefordert, so zu verstehen, dass alle personenbezogenen Daten des Betroffenen angefordert werden. Der Verantwortliche muss also alle seine Datensysteme nach personenbezogenen Daten des Betroffenen durchsuchen. Das Recht auf Kopie sieht der EDSA, neben der Möglichkeit der mündlichen Auskunftserteilung und der Einsicht vor Ort, als wichtigste Modalität der Auskunft über die personenbezogenen Daten des Betroffenen. Auch er geht davon aus, dass Kopien sämtlicher die personenbezogenen Daten enthaltender Dokumente herauszugeben sind. Ferner kann es nach der Leitlinie einer detaillierten Beantwortung nicht entgegengehalten werden, dass diese für den Verantwortlichen aufgrund des Umfangs der Auskunft besonders aufwändig sei.

4 Guidelines 01/2022 on data subject rights - Right of access | European Data Protection Board (europa.eu)

Die Reichweite des Auskunftsanspruch nach Art. 15 DSGVO ist derzeit in verschiedenen Vorlagefragen durch den EuGH zu entscheiden. Es bleibt abzuwarten, ob der EuGH die strenge Auslegung des EDSA übernimmt.