Keine „belanglosen“ Daten mehr? – Auch Gesprächs- und Telefonnotizen sind personenbezogene Daten (OLG Köln, 25.07.2019 – 20 U /5/18)

Auf den Punkt

Ein aktuelles Urteil des OLG Köln (OLG Köln, Urt. v. 25.07.2019 – 20 U 75/18) beschäftigt sich mit der Reichweite des Auskunftsanspruchs des Art. 15 der Datenschutzgrundverordnung (DSGVO) und der Auslegung des Begriffs des personenbezogenen Datums. Laut der Entscheidung müssen alle personenbezogenen Daten, auch elektronisch gespeicherte Gesprächs- und Telefonnotizen, die Personenbezug aufweisen, herausgegeben werden. Allerdings wies das Gericht auch darauf hin, dass der datenschutzrechtliche Auskunftsanspruch nicht dazu diene, Schadensersatzansprüche durchsetzbar zu machen, die nicht unmittelbar mit dem Recht auf informationelle Selbstbestimmung zusammenhängen.
 

Hintergrund

Die Parteien stritten um Leistungen aus einem Versicherungsverhältnis. Im Rahmen dessen machte der Kläger einen Auskunftsanspruch über seine personenbezogenen Daten, die durch das Versicherungsunternehmen verarbeitet wurden, geltend. Diese Daten wollte er dann auch im Prozess nutzen. Der Kläger stützte seinen Auskunftsanspruch auf § 34 BDSG, da zu dem Zeitpunkt, in dem das Verfahren in erster Instanz (LG Köln, Urt. v. 9.4.2018 – 26 O 360/16) rechtshängig wurde, die DSGVO noch nicht in Kraft getreten war.
 

Die Entscheidung

Nichtsdestotrotz hatte das OLG Köln nun zu entscheiden, wieweit der Auskunftsanspruch nach Art. 15 DSGVO in diesem konkreten Fall reicht. Denn auch wenn im Zeitpunkt der erstinstanzlichen Entscheidung die DSGVO noch nicht in Kraft getreten war, hat das Berufungsgericht bei seiner Entscheidung das geltende Recht, im Falle einer Rechtsänderung also das neue Recht der DSGVO, anzuwenden.

Die Klage hatte hinsichtlich des Auskunftsanspruchs Erfolg. Das Gericht stellte zunächst dar, welche Informationen im Allgemeinen unter den Begriff der „personenbezogenen Daten“ fallen: sowohl Identifikationsmerkmale (Name, Anschrift, Geburtsdatum, etc.), äußere Merkmale (z.B. Geschlecht, Augenfarbe, Größe, Gewicht), innere Zustände (wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile) als auch sachliche Informationen (Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen, sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt) seien erfasst. Darüber hinaus umfasse der Begriff aber auch solche Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer Person liefern.

Zu diesen Informationen zählen nach Auffassung des Gerichts auch elektronisch gespeicherte Vermerke zu Telefonaten sowie Gesprächsnotizen. Denn in diesen Vermerken seien Aussagen des Klägers selbst sowie Aussagen über ihn festgehalten worden. Das Gericht ist der Ansicht, dass es durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten „keine belanglosen Daten“ mehr gebe.

Die Einwände des Versicherungsunternehmens konnten das Gericht nicht überzeugen. Einerseits sah es im konkreten Fall keine Verletzung von Geschäftsgeheimnissen, da die eigenen Angaben des Klägers gegenüber seiner Versicherung schon nicht als Geschäftsgeheimnis im Verhältnis zwischen den Parteien zu qualifizieren und daher nicht schutzbedürftig seien. Andererseits lehnte es den Einwand ab, dass es einem Großunternehmen wirtschaftlich unmöglich sei, alle Dateien auf Personenbezug zu durchzusuchen und zu sichern. Ein Unternehmen müsse dafür Sorge tragen, dass die verwendete elektronische Datenverarbeitung im Einklang mit der Rechtsordnung organisiert und insbesondere datenschutzkonform sei, sodass den Rechten Dritter Rechnung getragen werde.

Zudem lehnte das Gericht das Begehren des Klägers auf eine Teilentscheidung über den Auskunftsanspruch – getrennt vom Schadensersatzanspruch - ab. Das Vorgehen des Klägers im Prozess über Art. 15 DSGVO sei eine unzulässige Ausforschung, da der Kläger die Beklagte auch vor der Einleitung eines Gerichtsverfahrens auf Auskunft hätte in Anspruch nehmen können. Der Auskunftsanspruch sei ein Instrument, das betroffenen Person helfe, ihre Ansprüche nach der DSGVO – wie etwa die Rechte auf Berichtigung oder Löschung nach Art. 16 und 17 DSGVO – geltend machen zu können. Er sei jedoch nicht speziell dazu geschaffen worden, Schadensersatzansprüche, die nichts mit dem Recht auf informationelle Selbstbestimmung zu tun haben, durchsetzbar zu machen. Eine Umkehr der Beweislast nach dem deutschen Zivilprozessrecht - der Anspruchsteller muss in der Regel die für ihn günstigen Tatsachen darlegen und beweisen – durch die DSGVO sei hier nicht gegeben. Die Entdeckung von Anhaltspunkten für das Bestehen eines Anspruches sei vielmehr nur ein „Nebeneffekt“.
 

Unser Kommentar

Seit Inkrafttreten der DSGVO kommt es häufiger dazu, dass innerhalb von Prozessen der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht wird. Bezüglich der Reichweite dieses Anspruchs besteht jedoch noch große Rechtsunsicherheit. Es obliegt daher zurzeit den Gerichten, den Umfang anhand von Einzelfällen zu konkretisieren. Der Auskunftsanspruch wird dabei in der Regel extensiv ausgelegt, um den umfassenden Schutz von natürlichen Personen – das Hauptziel der DSGVO – zu gewährleisten. Für die Betroffenen ist dies von großem Vorteil, um Eingriffe in ihre informationelle Selbstbestimmung zu erkennen und dagegen vorgehen zu können. Allerdings ergibt sich daraus auch ein Missbrauchsrisiko, was offenbar auch das OLG Köln erkannt hat. Daher ist zu begrüßen, dass es in seiner Entscheidung darauf hingewiesen hat, dass der Auskunftsanspruch gerade nicht dazu dient, eine Beweiserleichterung im Zivilprozess zu schaffen.

Für Unternehmen können sich – trotz dieser Einschränkung - aus einem weitreichenden Auskunftsanspruch ebenfalls erhebliche Probleme ergeben, da in der Praxis häufig noch keine Prozesse implementiert sind, die alle relevanten Daten für die Erfüllung eines Auskunftsanspruchs „auf Knopfdruck“ verfügbar machen. Ein Rückzug auf eine Unzumutbarkeit der Implementierung solcher Systeme und Prozesse erscheint angesichts des Urteils des OLG Köln nur schwer möglich. Gegebenenfalls kann aber eine Auskunft berechtigt verweigert werden nach Art. 15 Abs. 4 DSGVO . Hiernach kann die Herausgabe von Kopien verweigert werden, soweit Geschäftsgeheimnisse oder berechtigte Interessen Dritter entgegenstehen. Allerdings muss der Verantwortliche nachweisen, dass diese Interessen betroffen sind, zudem wird das Vorliegen von berechtigten Interessen regelmäßig nicht dazu führen, dass die Auskunft vollständig verweigert werden kann. Vielmehr dürfte in diesen Fällen eine aufwendige Identifikation und Schwärzung der betroffenen Dokumente erforderlich sein.

Kommt ein Unternehmen der Verpflichtung zur Auskunft nicht oder nur unzureichend nach, können hohe Bußgelder und Schadensersatzansprüche des Betroffenen die Folge sein. Unternehmen sollten daher unbedingt Maßnahmen treffen, um DSGVO-konform zu agieren. Diesbezüglich empfiehlt sich die Einführung von Systemen und Prozessen, durch welche personenbezogene Daten, die Gegenstand einer Verarbeitung sind, identifiziert, abgerufen und gegebenenfalls geschwärzt werden können. Dadurch kann einem Auskunftsersuchen angemessen und zeitnah Rechnung getragen werden.

Gerrit Feuerherdt Rechtsanwalt Associate Luther Rechtsanwaltsgesellschaft mbH Köln Telefon +49 221 9937 27059 gerrit.feuerherdt(at)luther-lawfirm.com

Kata Viktoria Éles Luther Rechtsanwaltsgesellschaft mbH Köln Telefon +49 221 9937 25812 kata.viktoria.eles