gekennzeichnet. 
Das Amtsgericht Lehrte entschied, dass eine betroffene Person einen Anspruch auf Auskunft gegenüber einem Verantwortlichen hat, dass dieser keine personenbezogenen Daten von der Person erhoben hat oder nicht mehr erhebt. Voraussetzung ist allerdings, dass dies nicht unverhältnismäßig bzw. begründet ist.
Einleitung
Eine Firma erlangte von einer Person im Rahmen einer Geschäftsbeziehung Festplatten. Auf den Festplatten waren persönliche Informationen der Person gespeichert.
Die Person sah nun, dass die Firma die Festplatten auf eBay verkaufte (übrigens sollten Sie eBay nur nutzen, wenn Sie möchten, dass Ihr Heim-Netzwerk heimlich von eBay gescannt wird).
Die Person forderte von der Firma eine Bestätigung zu erhalten, dass auf den angebotenen Festplatten keine persönlichen Daten der Person mehr vorhanden sind.
Die Firma weigerte sich, dies zu bestätigen und verwies auf Art. 12 Abs. 5 DSGVO.
Gerichtsentscheidung
Mit Beschluss vom 03.02.2021 (Az.: 9 C 139/20) entschied das AG Lehrte, dass betroffene Personen eine Bestätigung darüber einfordern dürfen, dass keine persönlichen Daten von Verantwortlichen erhoben werden. Diese leite sich aus Art. 15 Abs. 1 DSGVO ab. Dort steht dies auch recht eindeutig, wie ich finde.
In Art. 12 Abs. 5 Satz 2 DSGVO wird dieses Recht allerdings eingeschränkt.
Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
a) ein angemessenes Entgelt verlangen […] oder
b) sich weigern […]
Auszug aus Art. 12 Abs. 5 Satz 2 DSGVO
Das Gericht sah diese Einschränkung als für den vorliegenden Fall nicht relevant an. Vielmehr erhielt die Klägerin wohl Hinweise, dass auf den auf eBay angebotenen Festplatten (die ehemals ihre waren) ihre Daten immer noch gespeichert gewesen seien. Daraufhin hatte die Klägerin ein Auskunftsersuchen gestellt.
Es wäre ausreichend gewesen, dieses begründete Auskunftsersuchen mit dem einfachen Hinweis zu beantworten, dass nunmehr keine persönlichen Daten der Klägerin auf den angebotenen Festplatten vorhanden seien. Diese Negativauskunft wurde aber nicht erteilt. Sie wäre, wie das Urteil zeigt, übrigens auch nicht wahrheitsgemäß gewesen. Darum ging es aber nicht.
Fazit
Eine Negativauskunft darf immer dann verlangt werden, wenn dies ausreichend begründet ist. Im vorliegenden Fall war dies zumindest nach den Informationen, die dem Gericht vorlagen, gegeben. Anscheinend konnte die Klägerin glaubhaft machen, dass ihr Hinweise vorlagen, dass ihre Daten weiterhin auf den Festplatten waren, die nun im Besitz der genannten Firma waren. Im Urteil ist allerdings auch genannt, dass dieser Punkt unstrittig war. Ich meine, einmal gelesen zu haben, dass sich der Käufer der Festplatten mit der ehemaligen Inhaberin der Festplatten in Verbindung setzte und sie somit die Hinweise erhielt.
Das bloße Bestehen auf einer Negativauskunft, etwa ohne vorigen Kontakt zum Verantwortlichen gehabt zu haben, existiert hingegen nicht. Es mag bestehen, sofern besondere Umstände vorliegen, die im Einzelfall zu prüfen sind.
Auch ein übermäßiges Nachhaken scheidet als Grundlage für einen Anspruch aus. Die Regelungen der DSGVO sollen geradezu verhindern, dass jeder aus einer Laune heraus einen Verantwortlichen mit Auskunftsersuchen nervt.
Der Anspruch auf Ersuchen nach mehrfacher Bestätigung scheidet für mich auch aus, sofern kein besonderer Grund vorliegt, der dies rechtfertigen würde. Wenn eine Kommunikation per Email zwischen zwei Parteien stattfand und eine Partei die andere auffordert, die Mail-Kommunikation zu löschen, dann besteht nach meinem Dafürhalten kein weiterer Anspruch auf Negativauskunft, sofern die andere Partei das Löschen der Mail-Kommunikation bereits kurz bestätigt hatte. Etwas anderes ist es, wenn der Betroffene begründete Zweifel vortragen kann.
Im vorliegenden Fall war das Konstrukt der Negativauskunft eigentlich überflüssig, denn es war anscheinend bekannt, dass eine Datenpanne vorlag. Das Ersuchen nach Negativauskunft hätte hier höchstens dem Zwecke dienen können, dass der Verantwortliche sich entweder selbst belastet oder die Unwahrheit sagt.
Auf Webseiten werden sehr häufig unerlaubte Dateverarbeitungen durchgeführt, indem beispielsweise Tools von Google eingebunden werden. Ich könnte mir vorstellen, dass betroffene Personen hier auch ein Recht auf Negativauskunft haben. Entweder müsste muss ein Webseiten-Betreiber somit bestätigen, dass keine personenbezogenen Daten an Dritte weitergegeben wurden oder er müsste es eingestehen und kann dafür dann hoffentlich eine Rechtsgrundlage nennen. Das berechtigte Interesse wird hier sicher oft überstrapaziert. Der Datenweitergeber müsste dann vielleicht glaubhaft machen, dass Google die von ihm erhaltenen Daten (mindestens die IP-Adresse samt Information, welche Seite wann besucht wurde) nicht für eigene Zwecke nutzt. Hier wäre ich gespannt auf die Aussage von Google, falls denn eine solche überhaupt gegeben wird (es wäre m.E. das Problem des Verantwortlichen, diese Auskunft bei Google zu besorgen).
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT & Datenschutz bin ich auch als Sachverständiger tätig. Mir sind juristische Gegebenheiten nicht fremd. Meine Ergebnisse gewinne ich durch Betrachtung von Technik und Recht. Das scheint mir absolut notwendig, wenn es um digitalen Datenschutz geht. Über Ihre 