Artikel 15 DSGVO: Auskunftsrecht der betroffenen Person

Kategorien: Datenschutz, Recht und Übersicht

Der Artikel 15 der Datenschutz-Grundverordnung (DS-GVO) ist eine Rechtsvorschrift zur Auskunftspflicht gegenüber betroffenen Personen. Im DSGVO-Gesetz nimmt er eine wichtige Stellung ein, weil er Einfluss auf den Inhalt der Datenschutzerklärung hat und Betroffenenrechte stärkt. Er besagt:

Gesetzestext

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Häufige Begriffe (normiert): Daten(10), personenbezogen(9), Person(7), betroffen(6), Verantwortlicher(4), Information(4), Verarbeitung(4), Empfänger(3).

Bemerkungen

Eine Auskunft darf auch verlangt werden, wenn das Auskunftsgesuch (auch) datenschutzfremden Motiven folgt und die Beauskunftung beim Verantwortlichen viel Arbeit verursacht. Der Wert eines Antrags auf Datenauskunft ist in der Regel mit 5.000 € zu bemessen. Dies stellt das OLG Nürnberg im Endurteil vom 29.11.2023 – 4 U 347/21 fest.

Wer eine Auskunft erhält, die unvollständig zu sein scheint oder keine Auskunft erhält, dem empfehle ich das Beschwerdeschreiben von noyb, aufgrund dessen 5 Millionen Euro Strafe gegen Spotify verhängt wurden. Spotify lieferte nämlich unter anderem die in den Datenschutzhinweisen genannten "Web Tracking" Daten (Cookies etc.) nicht mit.

Juristische Personen, selbst 1-Person-GmbHs, haben laut Gerichtsentscheidung keinen Auskunftsanspruch aus der DSGVO (BFH, Beschluss vom 08.02.2024 – IX B 113/22). Es war nicht zu entscheiden, ob der Geschäftsführer-Gesellschafter als Person dieses Recht habe (das hat er als natürliche Person wohl). Das Auskunftsgesuch wurde von der GmbH des Klägers gestellt, was nicht durch die DSGVO legitimiert war. Daher sollten, so die Empfehlung auf Dr. DSGVO, Ein-Person-GmbHs in Form des Inhabers bei Datenschutzanfragen auftreten und begründen, warum die Person mit der GmbH verknüpft ist (weil die Person Inhaber der GmbH ist etc.).

Der Verantwortliche darf sich gemäß Art. 15 Abs. 1. c DSGVO nicht etwa aussuchen, ob konkrete Empfänger oder Kategorien von Empfängern genannt werden. Ein Wahlrecht würde merkwürdig anmuten. Vielmehr geht es darum, ob Interessen des Verantwortlichen die der betroffenen Person überwiegen, die eine Reduktion auf Kategorien statt konkreter Nennung rechtfertigen würden. Der EuGH stellte am 12.01.2023 (C‑154/21) fest, dass die konkreten Empfänger zu benennen sind!

Folgende Argumentation somit nicht mehr notwendig: Gemäß noyb (S. 8f) sei folgende Literatur zitiert, die diese Auffassung unterstützen soll (Quellen ungeprüft).

• Franck in Gola (Hrsg), DS-GVO (2018), Art 15 Rz 12: „Sofern die Empfänger feststehen, sollte im Interesse umfassender Transparenz stets eine genaue Angabe erfolgen.“
• Ehmann in Ehmann/Selmayr (Hrsg), DS-GVO (2017), Art 15 DSGVO, Rz 17: „Hier zeigt ein Vergleich mit Art. 30 Abs. 1 S. 1 Buchst. d, dass im Rahmen des Auskunftsanspruchs die Nennung der dort nicht genannten (konkreten) Empfänger von personenbezogenen Daten Vorrang hat vor der dort ausschließlich genannten Nennung der Kategorien von Empfängern. Nur dies wird dem Zweck des Auskunftsanspruchs gerecht, auch die Rechtmäßigkeit der Verarbeitung überprüfen zu können.“
• Dix in Simitits/Hormburg/Spicker (Hrsg) Datenschutzrecht (2018,) Artikel 15 DSGVO, Rz 20: „Nur, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, beschränkt sich der Anspruch auf die Auskunft über Empfängerkategorien.“
• Bäcker in Kühling/Büchner (Hrsg), DS-GVO BDSG (2018), Art 15 DSGVO, Rz 16 ff: „Der Verantwortliche hat ebenso wie im Rahmen von Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e grundsätzlich kein Wahlrecht, wie spezifisch er diese Information hält. Soweit er die Empfänger der Daten noch oder schon kennt, muss er sie auf Verlangen benennen. Kommt es dadurch zu einer Kollision zwischen dem Datenschutzrecht der betroffenen Person auf Auskunft und gegenläufigen Geheimhaltungsinteressen der Datenempfänger, so setzt sich nach Art. 15 das Recht der betroffenen Person durch.“

Der BGH entschied im Urteil vom 15.06.2021 (Az. VI ZR 576/19), dass sich der Auskunftsanspruch auch auf interne Dokumente bezieht. Der gesamte Schriftverkehr einer natürlichen Person mit einer verantwortlichen Stelle ist personenbezogen (alleine, weil er der Person zurechenbar ist). Auch interne Vermerke bei der verantwortlichen Stelle kommen grundsätzlich in Betracht, wenn ein Auskunftsbegehren vorliegt. Eine (interne) Beurteilung aufgrund personenbezogener Daten ist allerdings nicht unbedingt auskunftspflichtig. Auch ein wiederholtes Auskunftsbegehren ist grundsätzlich möglich (vgl. Erwägungsgrund 63 Satz 1, Art. 12 Absatz 5 Satz 2 DSGVO). Beim genannten Erwägungsgrund sind weitere Urteile hinterlegt.

Den Erwägungsgrund 63 hatte das LG Kassel im Urteil vom 05.07.2022 (Az.: 5 O 1954/21) thematisiert. Das Gericht entschied, dass ein Rechtsmissbrauch vorläge, sofern das Auskunftsgesuch nicht auf einen der Gründe gestützt werden kann oder basiert, die im Erwägungsgrund 63 genannt sind. Das könnte im Umkehrschluss bedeuten, dass gerade diese Gründe aus dem Erwägungsgrund ein Anrecht auf Auskunft begründen.

Das OLG Köln entschied und führte aus, dass ein Auskunftsanspruch auch dann besteht, wenn es der betroffenen Person „nicht, jedenfalls nicht primär“ darum geht, die Rechtmäßigkeit der Datenverarbeitung zu prüfen (Urteil vom 13.05.2022 – 20 U 295/21).

Neben einem Auskunftsanspruch besteht auch ein Anspruch auf Kopien von Dokumenten zur betroffenen Person. Dies entschied das OLG München (Urteil vom 04.10.2021 – 3 U 2906/20).

Schaltet eine betroffene Person einen Anwalt ein, nachdem ein Auskunftsgesuch nicht fristgerecht beantwortet wurde, muss der Verantwortliche die Anwaltskosten ersetzen, entschied das AG München im Teilurteil vom 04.09.2019 (Az.: 155 C 1510/18.) Der Streitwert hierfür wurde vom Gericht auf 5.000 Euro festgesetzt.

Das LAG Niedersachsen hat am 22.10.2021 (Az.: 16 Sa 761/20) geurteilt, dass eine verspätete Auskunft nach Art. 15 DSGVO zu einem Schmerzensgeld für die betroffene Person führt. Das Gericht sprach dem Betroffenen 1250 Euro für den Ausgleich eines immateriellen Schadens zu.

Das BAG hat am 16.12.2021 (Az.: 2 AZR 235/21) einen Auskunftsanspruch abgelehnt, wenn das Auskunftsbegehren undefinierte Begriffe wie „Leistungs- und Verhaltensdaten“ enthält.

Zu Abs. 1 c), ist eine Anfrage des OGH (Österreich) vom 18.02.2021 beim EuGH anhängig, ob „sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind“.

In Art. 12 Abs. 3 DSGVO ist als Maximalfrist für die Beantwortung eines Auskunftsanspruchs ein Monat genannt. Für Informationen, die gemäß Art. 13 DSGVO zu erteilen sind, ist eine unverzügliche Information vorgesehen („Datenschutzhinweise“). Das Arbeitsgericht Duisburg stellte klar, dass die Maximalfrist nur gilt, wenn sie gerechtfertigt ist. Ansonsten hat, insbesondere bei Negativauskunft, der Auskunftssuchende einen Anspruch auf unverzügliche Auskunft (ArbG Duisburg, Urteil vom 03.11.2023 – 5 Ca 877/23).

Auch interessant

• DSGVO allgemein
• Art. 5 DSGVO: Grundsätze für die Datenverarbeitung
• Art. 6 DSGVO: Rechtsgrundlagen der Verarbeitung
• Art. 7 DSGVO: Bedingungen für die Einwilligung
• Art. 12 DSGVO: Allgemeine Informationspflichten
• Art. 13 DSGVO: Spezielle Informationspflichten ("Datenschutzhinweise")
• Art. 26 DSGVO: Gemeinsame Verantwortlichkeit