Auskunftsrecht nach Art. 15 DSGVO: Wie Verwaltungen mit Alb­traum­briefen umgehen

Der Auskunfts­anspruch gemäß Art. 15 DSGVO ist das Schreck­gespenst jeder Ver­waltung. Die um­fang­reichen Aus­kunfts­ersuchen binden viel Arbeits­zeit und müssen in kurzer Zeit be­antwor­tet werden. In einem Urteil hat das OLG Köln nun deut­lich gemacht, wie weit der Umfang der Aus­kunfts­pflicht geht.

Das neue Recht auf Auskunft

Von Dipl.-Jur. Niklas Mühleis, LL.M., Heidrich Rechtsanwälte

Mit der am 25. Mai 2018 in Kraft getretenen Datenschutz­grundverordnung (DSGVO) wurden die Bürgerinnen und Bürger mit zahlreichen neuen Rechten und daten­verarbeitende Stellen, wie zum Beispiel öffentliche Verwaltungen, mit diversen neuen Pflichten ausgestattet. Eines der auffälligeren Rechtsinstitute ist dabei das Auskunftsersuchen gemäß Art. 15 DSGVO bzw. § 34 Bundesdatenschutzgesetz (BDSG). Grund für dessen Einführung war, dass die Bürger jederzeit nachvollziehen können sollten, welche Stelle welche Daten von ihnen zu welchen Zwecken verarbeitet. Das Auskunftsverlangen traf dabei offensichtlich einen Nerv der Bürgerinnen und Bürger und dürfte das am häufigsten genutzte Recht aus der neuen europäischen Verordnung sein.

Auf der anderen Seite der Anträge stehen die datenverarbeitenden Stellen, welche die umfangreichen Ersuchen beantworten müssen. Dafür hat der Gesetzgeber vorgesehen, dass die Beantwortung gemäß Art. 12 Abs. 3 DSGVO innerhalb eines Monats erfolgen muss. Nur in Ausnahmefällen darf diese Frist um zwei weitere Monate verlängert werden. Dies kann in solchen Fällen geschehen, wenn beispielsweise eine hohe Zahl von Anfragen eingegangen ist oder die Beantwortung der Anfrage sich als besonders schwierig oder zeitaufwendig erweist. Zudem muss jede Fristverlängerung gegenüber den Auskunftsersuchenden auch immer angezeigt und begründet werden.

Die kurze Frist wird insbesondere dann zum Problem, wenn ein vollständiges Auskunftsersuchen über die sogenannten Albtraumbriefe, also standardisierte Auskunftsersuchen mit denen sämtliche möglichen Auskünfte auf einmal abgefragt werden, einhergeht. Die Erfahrung des letzten Jahres hat gezeigt, dass mit besonderer Vorliebe kommunale Verwaltungen Ziel solcher Briefe werden, die in der Regel enorme zeitliche und personelle Ressourcen binden.

Das Problem mit dem Umfang

Nicht ohne Grund stellen sich die verarbeitenden Stellen die Frage, wie weit der Umfang eines Auskunftsersuchens denn nun geht. Art. 15 DSGVO benennt zwar explizit Themenbereiche, zu denen Auskunft erteilt werden muss, beispielsweise die Zwecke der Verarbeitung oder die Kategorien personenbezogener Daten, definiert jedoch nicht den expliziten Umfang einer Auskunft. Gerade dieser kann jedoch bei der Beantwortung je nach Anfrage stark variieren. So gibt es Anfragen, welche aufgrund von zahlreichen verschiedenen Vorgängen, diversen Briefkontakten, Mail-Wechseln, Telefonaten, Bescheiden und Widersprüchen einen immensen Umfang einnehmen.

Ebook KITK-2019 09.jpg

Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserem Kommunale-ITK-Sonderdruck im Herbst 2019. Einen Über­blick mit freien Links zu sämt­lichen Einzel­heften bekommen Sie online im Presse­zentrum des MittelstandsWiki.

Ein solcher Fall, in dem gerade dieser Umfang der Auskunftspflicht zentraler Streitpunkt war, wurde vor dem Oberlandesgericht Köln verhandelt. Der Kläger hatte bei der Beklagten eine Berufsunfähigkeitsversicherung abgeschlossen und eine Datenauskunft nach § 34 BDSG (in der alten Fassung) verlangt, die ihm von seinem Versicherer lediglich unvollständig erteilt worden war. Streitig war hierbei die Herausgabe von Gesprächsnotizen und Telefonvermerken im Zusammenhang mit dem Betroffenen. Nach Ansicht der beklagten Versicherung stellten diese Dokumente lediglich Aufzeichnungen für den internen Gebrauch dar, die nicht herausgegeben werden müssten und obendrein Geschäftsgeheimnisse darstellten.

Dem widersprach das OLG Köln deutlich (Urteil vom 26.07.2019, Az. 20 U 75/18). Nach Ansicht des Gerichts stellen Aufzeichnungen dieser Art, selbst wenn sie nur für den internen Gebrauch gedacht sind, personenbezogene Daten dar, welche selbstredend von der Auskunftspflicht der DSGVO umfasst werden. Auch das Argument, es würden Geschäftsgeheimnisse verletzt, lehnte das OLG rundheraus ab. So könnten Angaben, die ein Betroffener selbst gegenüber einem Verarbeiter von Daten gemacht hat, diesem gegenüber grundsätzlich nicht plötzlich schutzwürdig sein.

Mit dieser Entscheidung hat das OLG Köln den sehr umfassenden Auskunftsanspruch von Betroffenen aktuell noch einmal bestätigt. Das Urteil verdeutlicht dabei, dass die aktuelle Auslegung der Regelung aus der DSGVO keine Ausnahmen für die Auskunftspflicht vorsieht. Bevor eine Information im Rahmen eines Auskunftsersuchens nicht herausgegeben wird, sollten sich Stellen, die personenbezogene Daten verarbeiten, die geltende Rechtslage noch einmal deutlich vor Augen führen und nicht versuchen, die Wahrung von Geschäftsgeheimnissen pauschal als Grund für eine Ablehnung vorschieben.

Gute Vorbereitung spart Zeit

Da mit dem Urteil die Position der Bürgerinnen und Bürger noch einmal gestärkt wurde, ist die Wichtigkeit der gewissenhaften Vorbereitung auf Auskunftsersuchen im verwaltungsinternen Ablauf besonders hervorzuheben. Es empfiehlt sich daher, Mitarbeitern nur Zugriff auf personenbezogene Daten zu gewähren, wenn es zu deren Aufgabenbereich gehört, diese Daten zu verarbeiten. Zudem sollten personenbezogene Daten auf so wenigen Datenbanken wie möglich gespeichert werden. Dies erhöht zum einen die Datensicherheit, zum anderen wird die Zusammenstellung der gespeicherten Daten im Fall von Anfragen enorm erleichtert. Zudem können für zahlreiche Fragen aus dem Katalog Antworten mit einem einmaligen Aufwand vorformuliert und dann als Musterantwort verwendet werden. So lässt sich mit einer guten Organisationsstruktur auch der umfangreichsten Anfrage der Schrecken nehmen.

Niklas-Muehleis.jpg

Dipl.-Jur. Niklas Mühleis, LL.M., ist bei der Heise-Kanzlei Heidrich Rechtsanwälte in Hannover tätig, spezialisiert auf IT- und IP-Recht sowie Fachautor, u.a. für c’t.


Heidrich Rechtsanwälte, Vahrenwalder Straße 255, 30179 Hannover, Tel.: 0511-37498150, muehleis@recht-im-internet.de, www.recht-im-internet.de

Nützliche Links