DSGVO-Reform: Missbrauchseinwand gegen Auskunftsansprüche – Weniger statt mehr Rechtssicherheit

In diesem Beitrag möchte ich mich mit den vorgeschlagenen Änderungen der Kommission zur Ausnahmevorschrift des Art. 12 Abs. 5 DSGVO befassen. Die Kommission schlägt im Rahmen der Reform der DSGVO u.a. vor, einen neuen (?) Ausnahmetatbestand speziell für Art. 15 DSGVO-Ansprüche aufzunehmen. Jedoch lässt der Vorschlag leider mehr offene Fragen als konkrete Antworten zurück.

Anpassung des Art. 12 Abs. 5 DSGVO

Die Kommission schlägt vor, Art. 12 Abs. 5 DSGVO wie folgt anzupassen (es handelt sich um eine inoffizielle eigene Übersetzung). Die Anpassungen habe ich fett markiert:

„5. Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person oder, bei Anträgen gemäß Artikel 15, weil die betroffene Person die durch diese Verordnung gewährten Rechte für andere Zwecke als den Schutz ihrer Daten missbraucht, kann der Verantwortliche entweder:

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis dafür zu erbringen, dass der Antrag offensichtlich unbegründet ist oder dass berechtigte Gründe für die Annahme bestehen, dass er exzessiv ist.

Zweck der Änderungen

Laut der Begründung der Kommission im begleitenden Dokument zu den Anpassungsvorschlägen wird das Auskunftsrecht von betroffenen Personen in einigen Fällen in missbräuchlicher Weise für andere Zwecke als den Schutz ihrer personenbezogenen Daten genutzt. Dies wurde häufig als Problem für Verantwortliche angesprochen, die erhebliche Ressourcen aufwenden müssen, um auf missbräuchliche Auskunftsersuchen zu reagieren. Der Vorschlag sehe daher vor, dass der Verantwortliche in solchen Fällen die Erfüllung des Antrags verweigern oder eine angemessene Gebühr erheben kann. Darüber hinaus sollte die Beweislast für den Verantwortlichen geringer sein, um nachzuweisen, dass ein Auskunftsantrag exzessiv war. Die vorgeschlagene Änderung würde den Verantwortlichen Rechtsklarheit hinsichtlich der rechtmäßigen Möglichkeiten zur Behandlung von Situationen verschaffen, in denen Anträge auf Auskunft eindeutig missbräuchlich sind.

In ErwG 35 zu dem Anpassungsvorschlag nennt die Kommission auch zwei Beispiele, die sie hierbei im Blick hat. Ein solcher Missbrauch des Auskunftsrechts liege beispielsweise vor, wenn die betroffene Person beabsichtigt, den Verantwortlichen dazu zu veranlassen, einen Auskunftsantrag abzulehnen, um anschließend die Zahlung einer Entschädigung zu verlangen, möglicherweise unter Androhung einer Schadensersatzklage. Weitere Beispiele für Missbrauch seien Situationen, in denen betroffene Personen das Auskunftsrecht in exzessiver Weise ausüben, mit der alleinigen Absicht, dem Verantwortlichen Schaden zuzufügen, oder wenn eine Person einen Antrag stellt, aber gleichzeitig anbietet, diesen gegen eine Gegenleistung des Verantwortlichen zurückzuziehen.

Neuer Ausnahmetatbestand oder Fallgruppe der existierenden Ausnahmen?

Unklar ist die von der Kommission zugrunde gelegte Systematik der Ausnahme: handelt es sich um eine Fallgruppe der „offenkundigen Unbegründetheit“ oder der „Exzessivität“, oder wird hier ein dritter, eigener Ausnahmetatbestand geschaffen.

Diese Einordnung ist aus meiner Sicht nicht nur reine Förmelei. Denn die Nachweispflicht des Verantwortlichen im letzten Satz der Vorschrift, erfasst nur Anträge von Betroffenen, die offenkundig unbegründet oder exzessiv sind.

Muss also der Verantwortliche den Missbrauch des Auskunftsrechts nicht nachweisen?

Spezialausnahme für Art. 15 DSGVO

Zu beachten ist zudem, dass der Vorschlag der Kommission sehr klar allein Anträge nach Art. 15 DSGVO erfasst. Das mag man positiv oder negativ bewerten. Klar ist aber, dass in der Praxis ein möglicher missbräuchlicher Antrag auf Löschung (Art. 17) oder Berichtigung (Art. 16) hiervon nicht erfasst wäre. Und gerade das Recht auf Löschung wird in der Praxis durchaus vorgeschoben, um „unliebsame“ Daten löschen zu lassen.

Fraglich kann zudem die Anwendbarkeit der Ausnahme in Fällen sein, in denen Betroffene Anträge kombinieren. Besonders oft kommt in der Praxis der kombinierte Auskunfts- und Löschantrag vor. Muss dann durch Verantwortliche eine getrennte Missbrauchsprüfung, einmal für den teil des Art. 17 und einmal für jenen des Art. 15 erfolgen? Denn die neue Ausnahme soll ja klar nur für Art. 15-Anträge gelten.

Unklare Voraussetzungen – „Zweck der Schutz der Daten“

Mit absoluter Sicherheit würde ein der Praxis zudem die neue Voraussetzung der Ausnahme für Streitigkeiten sorgen: die Ausnahme soll bei Anträgen gemäß Art. 15 DSGVO gelten, „weil die betroffene Person die durch diese Verordnung gewährten Rechte für andere Zwecke als den Schutz ihrer Daten missbraucht“.

Zum einen ist systematisch bereits nicht verständlich, welche „gewährten Rechte“ hier angesprochen sind. Wir befinden uns nach dem Wortlaut des Vorschlags klar allein Bereich der Art. 15 Anträge. Ein Auskunftsantrag soll abgelehnt werden können, wenn der Betroffene DSGVO-Rechte für andere Zwecke als den Datenschutz missbraucht. Aber die Ausnahme soll doch gerade den Missbrauch des Art. 15-Rechts erfassen und nicht mögliche andere Rechte, die über Art. 15 DSGVO nicht missbräuchlich ausgeübt werden?  

Man könnte die neue Vorgabe auch ganz anders lesen:

  • Der Zusatz „bei Anträgen gemäß Artikel 15“ nennt nur das Auskunftsrecht noch einmal ausdrücklich uns separat.
  • Der weitere Zusatz mit den Voraussetzungen des Missbrauchs „, weil die betroffene Person die durch diese Verordnung gewährten Rechte für andere Zwecke als den Schutz ihrer Daten missbraucht“ gilt dann aber für alle DSGVO-Rechte.

Wenn man die Änderung so lesen möchte, stellt sich aber aus meiner Sicht di Frage, wofür es den Zusatz „bei Anträgen gemäß Artikel 15“ braucht? Denn Art. 15 DSGVO ist doch schon vom ersten Satz klar umfasst (alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34“.

Aus meiner Sicht ist der Vorschlag systematisch daher wenig gelungen und nicht verständlich.

Und, egal ob man nun eine spezielle Art. 15-Ausnhame annimmt oder die Ausnahme auf alle Rechte erstrecken will und die Erwähnung von Art. 15 nur als besondere Hervorhebung sieht, bleibt das Problem, was die Kommission mit dem Merkmal „für andere Zwecke als den Schutz ihrer Daten missbraucht“ meint?

Die DSGVO kennt Begriffe wie „Datenschutzzwecke“ oder „Zwecke des Schutzes ihrer Daten“ nicht. Wenn die Kommission mit der Formulierung im Grunde das Ziel der DSGVO adressiert (Art. 1 Abs. 2 DSGVO, „schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten“), dann hätte sie eigentlich klarer formulieren können, wie etwa „für andere Zwecke als jene der Verordnung 2016/679“ oder ähnlich. Die nun gewählte Formulierung ist aber offener und bietet mehr Interpretationsmöglichkeiten.

Gehört es z.B. zum „Zweck des Schutzes ihrer Daten“, wenn Betroffene Auskunft beantragen, um danach, wenn sie Verstöße festgestellt haben, einen Schadenersatzanspruch nach Art. 82 DSGVO geltend zu machen? Art. 82 DSGVO ist Teil der DSGVO. Einen Datenschutzbezug wird man dem Anspruch daher nicht absprechen können. Andererseits ist Art. 82 DSGVO auf den finanziellen Ausgleich ausgerichtet – dient dieser Zweck dem von der Kommission vorgeschlagenen „Zweck des Schutzes ihrer Daten“?

Dass die vorgeschlagene Änderung, wie von der Kommission in der Begründung angenommen, den Verantwortlichen Rechtsklarheit verschaffen würden, sehe ich bei diesem Vorschlag daher leider noch nicht.