Das neue Recht auf Auskunft
Von Dipl.-Jur. Niklas Mühleis, LL.M., Heidrich Rechtsanwälte
Mit der am 25. Mai 2018 in Kraft getretenen Datenschutzgrundverordnung (DSGVO) wurden die Bürgerinnen und Bürger mit zahlreichen neuen Rechten und datenverarbeitende Stellen, wie zum Beispiel öffentliche Verwaltungen, mit diversen neuen Pflichten ausgestattet. Eines der auffälligeren Rechtsinstitute ist dabei das Auskunftsersuchen gemäß Art. 15 DSGVO bzw. § 34 Bundesdatenschutzgesetz (BDSG). Grund für dessen Einführung war, dass die Bürger jederzeit nachvollziehen können sollten, welche Stelle welche Daten von ihnen zu welchen Zwecken verarbeitet. Das Auskunftsverlangen traf dabei offensichtlich einen Nerv der Bürgerinnen und Bürger und dürfte das am häufigsten genutzte Recht aus der neuen europäischen Verordnung sein.
Auf der anderen Seite der Anträge stehen die datenverarbeitenden Stellen, welche die umfangreichen Ersuchen beantworten müssen. Dafür hat der Gesetzgeber vorgesehen, dass die Beantwortung gemäß Art. 12 Abs. 3 DSGVO innerhalb eines Monats erfolgen muss. Nur in Ausnahmefällen darf diese Frist um zwei weitere Monate verlängert werden. Dies kann in solchen Fällen geschehen, wenn beispielsweise eine hohe Zahl von Anfragen eingegangen ist oder die Beantwortung der Anfrage sich als besonders schwierig oder zeitaufwendig erweist. Zudem muss jede Fristverlängerung gegenüber den Auskunftsersuchenden auch immer angezeigt und begründet werden.
Die kurze Frist wird insbesondere dann zum Problem, wenn ein vollständiges Auskunftsersuchen über die sogenannten Albtraumbriefe, also standardisierte Auskunftsersuchen mit denen sämtliche möglichen Auskünfte auf einmal abgefragt werden, einhergeht. Die Erfahrung des letzten Jahres hat gezeigt, dass mit besonderer Vorliebe kommunale Verwaltungen Ziel solcher Briefe werden, die in der Regel enorme zeitliche und personelle Ressourcen binden.
Das Problem mit dem Umfang
Nicht ohne Grund stellen sich die verarbeitenden Stellen die Frage, wie weit der Umfang eines Auskunftsersuchens denn nun geht. Art. 15 DSGVO benennt zwar explizit Themenbereiche, zu denen Auskunft erteilt werden muss, beispielsweise die Zwecke der Verarbeitung oder die Kategorien personenbezogener Daten, definiert jedoch nicht den expliziten Umfang einer Auskunft. Gerade dieser kann jedoch bei der Beantwortung je nach Anfrage stark variieren. So gibt es Anfragen, welche aufgrund von zahlreichen verschiedenen Vorgängen, diversen Briefkontakten, Mail-Wechseln, Telefonaten, Bescheiden und Widersprüchen einen immensen Umfang einnehmen.
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserem Kommunale-ITK-Sonderdruck im Herbst 2019. Einen Überblick mit freien Links zu sämtlichen Einzelheften bekommen Sie online im Pressezentrum des MittelstandsWiki.
Ein solcher Fall, in dem gerade dieser Umfang der Auskunftspflicht zentraler Streitpunkt war, wurde vor dem Oberlandesgericht Köln verhandelt. Der Kläger hatte bei der Beklagten eine Berufsunfähigkeitsversicherung abgeschlossen und eine Datenauskunft nach § 34 BDSG (in der alten Fassung) verlangt, die ihm von seinem Versicherer lediglich unvollständig erteilt worden war. Streitig war hierbei die Herausgabe von Gesprächsnotizen und Telefonvermerken im Zusammenhang mit dem Betroffenen. Nach Ansicht der beklagten Versicherung stellten diese Dokumente lediglich Aufzeichnungen für den internen Gebrauch dar, die nicht herausgegeben werden müssten und obendrein Geschäftsgeheimnisse darstellten.
Dem widersprach das OLG Köln deutlich (Urteil vom 26.07.2019, Az. 20 U 75/18). Nach Ansicht des Gerichts stellen Aufzeichnungen dieser Art, selbst wenn sie nur für den internen Gebrauch gedacht sind, personenbezogene Daten dar, welche selbstredend von der Auskunftspflicht der DSGVO umfasst werden. Auch das Argument, es würden Geschäftsgeheimnisse verletzt, lehnte das OLG rundheraus ab. So könnten Angaben, die ein Betroffener selbst gegenüber einem Verarbeiter von Daten gemacht hat, diesem gegenüber grundsätzlich nicht plötzlich schutzwürdig sein.
Mit dieser Entscheidung hat das OLG Köln den sehr umfassenden Auskunftsanspruch von Betroffenen aktuell noch einmal bestätigt. Das Urteil verdeutlicht dabei, dass die aktuelle Auslegung der Regelung aus der DSGVO keine Ausnahmen für die Auskunftspflicht vorsieht. Bevor eine Information im Rahmen eines Auskunftsersuchens nicht herausgegeben wird, sollten sich Stellen, die personenbezogene Daten verarbeiten, die geltende Rechtslage noch einmal deutlich vor Augen führen und nicht versuchen, die Wahrung von Geschäftsgeheimnissen pauschal als Grund für eine Ablehnung vorschieben.
Gute Vorbereitung spart Zeit
Da mit dem Urteil die Position der Bürgerinnen und Bürger noch einmal gestärkt wurde, ist die Wichtigkeit der gewissenhaften Vorbereitung auf Auskunftsersuchen im verwaltungsinternen Ablauf besonders hervorzuheben. Es empfiehlt sich daher, Mitarbeitern nur Zugriff auf personenbezogene Daten zu gewähren, wenn es zu deren Aufgabenbereich gehört, diese Daten zu verarbeiten. Zudem sollten personenbezogene Daten auf so wenigen Datenbanken wie möglich gespeichert werden. Dies erhöht zum einen die Datensicherheit, zum anderen wird die Zusammenstellung der gespeicherten Daten im Fall von Anfragen enorm erleichtert. Zudem können für zahlreiche Fragen aus dem Katalog Antworten mit einem einmaligen Aufwand vorformuliert und dann als Musterantwort verwendet werden. So lässt sich mit einer guten Organisationsstruktur auch der umfangreichsten Anfrage der Schrecken nehmen.
Dipl.-Jur. Niklas Mühleis, LL.M., ist bei der Heise-Kanzlei Heidrich Rechtsanwälte in Hannover tätig, spezialisiert auf IT- und IP-Recht sowie Fachautor, u.a. für c’t.
Heidrich Rechtsanwälte, Vahrenwalder Straße 255, 30179 Hannover, Tel.: 0511-37498150, muehleis@recht-im-internet.de, www.recht-im-internet.de
