Datenschutzbehörde: „Woher haben Sie meine E-Mail-Adresse“? – Kein Antrag auf volle Auskunft nach Art. 15 DSGVO

Die dänische Datenschutzbehörde hat eine interessante Entscheidung zur Beantwortung von Auskunftsanfragen (oder eben keinen solchen Anfragen) nach Art. 15 DSGVO getroffen (Entscheidung vom 21.6.2021, PDF, Englisch)

Sachverhalt

Der Beschwerdeführer hatte einen Newsletter des betroffenen Unternehmens (Pixojet) erhalten. Am selben Tag bat er Pixojet, ihm mitzuteilen, woher Pixojet seine E-Mail-Adresse erhalten hatte. Pixojet teilte ihm mit, dass er sich für den Newsletter von Pixojet angemeldet habe und dass Pixojet sein Abonnement wieder löschen kann. Der Beschwerdeführer ging jedoch davon aus, dass er sich nie für den Newsletter angemeldet habe, und bat dann um Auskunft darüber, wann er den Newsletter abonniert habe und von welcher Quelle. 

Pixojet antwortete hierauf nicht direkt. Erst nach erneuter Nachfrage, woher Pixojet seine Informationen hatte antwortete ein Mitarbeiter des Kundendienstes, dass er sich nicht sicher ist, dass es aber nach einer manuellen Registrierung durch den Beschwerdeführer aussehe.

Der Beschwerdeführer ging weiter davon aus, dass er sich nie für den Newsletter angemeldet hatte. Er ging von einem Verstoß gegen die DSGVO aus. Sowohl, wie die Daten zu Pixojet gelangten /ggfs. über eine Drittquelle) als auch hinsichtlich der Antwort von Pixojet auf seinen Auskunftsantrag nach Art. 15 DSGVO.

Entscheidung

Die dänische Datenschutzbehörde verweist zunächst allgemein auf den Auskunftsanspruch nach Art. 15 DSGVO. Danach habe die betroffenen Personen in der Regel das Recht, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu erhalten ob personenbezogene Daten über die betroffene Person verarbeitet werden und gegebenenfalls, Auskunft über die personenbezogenen Daten und eine Reihe weiterer Informationen.

Nach Art. 15 Abs. 1 lit. g) DSGVO habe die betroffene Person das Recht, alle verfügbaren Informationen über die Herkunft der personenbezogenen Daten zu erhalten, wenn diese nicht bei der betroffenen Person erhoben wurden. 

Die Datenschutzbehörde hat die Beschwerde so verstanden, dass die betroffene Person hier der Meinung ist, Pixojet habe ihm keine Auskunft entsprechend den Vorgaben des Art. 15 DSGVO gewährt. 

Dies sieht die Aufsichtsbehörde jedoch nicht so und geht davon aus, dass kein Verstoß vorliegt. Grund: die Fragen des betroffenen stellten schon keinen Auskunftsantrag nach Art. 15 DSGVO dar.

Die dänische Datenschutzbehörde sieht laut ihrer Begründung keinen Anhaltspunkt, die Einschätzung des Unternehmens, dass die Anfragen des Beschwerdeführers nicht als Antrag auf uneingeschränkte Auskunft gemäß Art. 15 DSGVO zu verstehen sind, zu beanstanden. 

Die Behörde geht also davon aus, dass die oben dargestellten Fragen des Betroffenen keine Ausübung des vollständigen Auskunftsanspruchs nach Art. 15 DSGVO darstellen. Damit treffen das Unternehmen natürlich auch nicht alle Pflichten des Art. 15 DSGVO.

Aus der Begründung (inoffiziell übersetzt): „Die dänische Datenschutzbehörde hat dabei den Schwerpunkt auf den Wortlaut der Anfragen des Beschwerdeführers gelegt, der angibt, dass er konkret wissen möchte, wo Pixojet seine E-Mail-Adresse hatte.

Die Behörde geht also wohl nur von einer sehr begrenzten Ausübung des Auskunftsanspruchs aus; konkret in Bezug auf die Herkunft der Daten. Die dänische Datenschutzbehörde stellt dann fest, dass Pixojet den Beschwerdeführer darüber informiert hat, dass die Informationen über ihn wahrscheinlich aus einem manuellen Eintrag in den Newsletter von Pixojet auf der Website des Unternehmens stammen. Dies war aus Sicht der Behörde ausreichend, da das Unternehmen über keine weiteren Informationen verfügte.

Fazit

Die Entscheidung ist unter zwei Gesichtspunkten praxisrelevant.

Zum einen löst eine konkrete Nachfrage von Betroffenen nicht direkt die volle Verpflichtungskaskade des Art. 15 DSGVO aus. Fraglich ist freilich, ab wann dann von einer vollumfänglichen Ausübung auszugehen ist., Wohl ziemlich sicher, wenn eine Person deutlich macht, dass sie umfassend Auskunft nach Art. 15 DSGVO begehrt.

Zum anderen ist die Auskunftspflicht des Art. 15 Abs. 1 lit. g) DSGVO erfüllt, wenn das Unternehmen seinem Kenntnisstand entsprechend informiert, woher die Daten stammen. Eine weiter Aufklärungs- oder Nachforschungspflicht ist hiervon nicht umfasst.

OLG München: Anspruch auf Kopie nach Art. 15 Abs. 3 DSGVO ist weit auszulegen

Das OLG München hat mit Urteil vom 4.10.2021 (Az 3 U 2906/20) eine praxisrelevante Entscheidung zur Geltendmachung und zum Umfang des Anspruchs auf Herausgabe von Kopien personenbezogener Daten nach Art. 15 Abs. 3 DSGVO gefällt. Das OLG legt den Begriff „personenbezogene Daten“ weit aus und sieht in Art. 15 Abs. 3 DSGVO einen eigenständigen Anspruch, neben jenem auf Auskunft nach Art. 15 Abs. 1 DSGVO.

Sachverhalt

In der Vorinstanz verurteilte das Landgericht München I die Beklagten dazu, der Klägerin Kopien aller personenbezogenen Daten – insbesondere in Form von Telefonnotizen, Aktenvermerken, Protokollen, E-Mails, Briefen und Zeichnungsunterlagen für Kapitalanlagen – auszuhändigen. Vorgerichtlich forderte die Klägerin die Beklagten nach Art. 15 Abs. 3 DSGVO zur Überlassung von Kopien aller bei den Beklagten vorhandenen personenbezogenen Daten der Klägerin auf. Die Beklagten übersandten eine Auskunft der einzelnen bei ihnen gespeicherten Daten der Klägerin, Kopien wurden jedoch nicht überlassen.

Die Beklagten legten gegen dieses Urteil Berufung ein. Die Beklagten gehen u.a. davon aus, dass die Klageerweiterung bezüglich des Anspruchs aus Art. 15 Abs. 3 DSGVO bereits unzulässig war. Auch sei der Antrag in der gestellten Form zu unbestimmt.

Entscheidung

Das OLG wies die Berufung als unbegründet zurück.

Interessant ist zunächst die Ansicht des OLG zur Bestimmtheit des Klageantrags. Wie erinnern und an die Entscheidung des BAG (2 AZR 342/20).

Vorliegend hat das OLG keine Bedenken hinsichtlich der Bestimmtheit des Klageantrages. Dieser lautete wie folgt:
Die Beklagten werden verurteilt, der Klägerin Kopien der von den Beklagten verarbeiteten personenbezogenen Daten der Klägerin betreffend die Datenkategorien Telefonnotizen, Aktenvermerke, Gesprächsprotokolle, E-Mails, Briefe und Zeichnungsunterlagen für Kapitalanlagen im Zeitraum vom 01.01.1997 bis ein 31.03.2018 zu überlassen.“

Das OLG begründet, dass für die Klägerin als Gläubigerin eines Anspruchs aus Art. 15 Abs. 3 DSGVO im Regelfall nicht ersichtlich sein wird, welche Unterlagen sich bei dem Auskunftsverpflichteten befinden.

Damit ist jedoch eine Konkretisierung der einzelnen herauszugebenden Schriftstücke nicht möglich“.

Nach Ansicht des OLG begegnet der Antrag (der noch minimal klargestellt wurde) im Hinblick auf die Bestimmtheit im Sinne des § 253 Abs. 2 Nr. 2 ZPO keinen Bedenken.

Sodann geht das OLG davon aus, dass das Landgericht die Beklagten zu Recht zur Herausgabe von Kopien der bei ihnen gespeicherten persönlichen Daten verurteilte.

Das OLG geht von einem weiten Verständnis des Begriffs „personenbezogene Daten“ aus.

Bei den aus dem Tenor der erstinstanzlichen Entscheidung ersichtlichen Informationen handelt es sich um personenbezogene Daten“.

In dieser Entscheidung wurden personenbezogenen Daten „insbesondere in Form von Telefonnotizen, Aktenvermerken, Protokollen, E-Mails, Briefen und Zeichnungsunterlagen für Kapitalanlagen“ aufgezählt. Diese Dokumente sieht das OLG insgesamt als personenbezogene Daten an.

Das OLG begründet seine Ansicht u.a. damit, dass sich jeweils aus dem Betreff bzw. dem Gesprächspartner eine Verbindung zu der Klägerin ziehen lasse. Schreiben und E-Mails der Klägerin an die Beklagten seien

grundsätzlich ihrem gesamten Inhalt nach als personenbezogene Daten gem. Art. 4 Nr. 1 DS-GVO anzusehen“.

Dies ist meines Erachtens eine relevante Ansicht des OLG. Nicht allein die in einem Dokument enthaltenen Daten sind personenbezogen, sondern das sie umschließende Dokument. Die Daten „infizieren“ quasi das Dokument mit dem Personenbezug.

Zuletzt geht das OLG noch auf den in der Literatur und Rechtsprechung geführten Streit ein, ob aus Art. 15 Abs. 3 D-GVO ein eigenständiger Anspruch auf Herausgabe von Kopien folge.

Zum Teil werde ein entsprechender Anspruch auf Herausgabe von Kopien verneint. Nach anderer Auffassung enthält Art. 15 Abs. 3 S. 1 DSGVO einen eigenständigen Herausgabeanspruch.

Das OLG positioniert sich wie folgt:

Der Senat folgt der Ansicht, wonach der Auskunftsberechtigte neben dem Anspruch auf Auskunft gemäß Art. 15 Abs. 1 DS-GVO auch ein eigenständiger Anspruch auf Überlassung von Kopien gemäß Art. 15 Abs. 3 DS-GVO zusteht. Es handelt sich bei Abs. 1 und Abs. 3 des Art. 15 DS-GVO um zwei unterschiedliche Ansprüche,…

Zudem erläutert das OLG, dass der Gegenstand dieses Anspruchs sich nicht lediglich auf eine abstrakte Aufzählung der vorhandenen Informationen richte, da dieser bereits in dem Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO enthalten ist.

Vielmehr hat der Gläubiger einen Anspruch auf Überlassung der Informationen in der Form, wie sie dem Verantwortlichen vorliegen

Das OLG scheint also die Ansicht zu vertreten, dass tatsächlich eine eins zu eins Kopie der Dokumente herauszugeben ist. Wie oben beschrieben, wird dies in Literatur und Rechtsprechung kontrovers diskutiert. Anders sah dies etwa das LAG Baden-Württemberg (Urt. v. 17.3.2021, Az 21 Sa 43/20):

besteht aus Sicht der erkennenden Kammer kein Anspruch der von der Datenverarbeitung betroffenen Person gegen den Verantwortlichen auf den Abdruck/Ausdruck/die elektronische Datei in der Form, in der die entsprechenden Daten der betroffenen Person beim Verantwortlichen verarbeitet worden sind.“

Nach Ansicht des OLG sei aber ein notwendiger Schutz des Schuldners durch die Möglichkeit der Schwärzung nach Art. 15 Abs. 4 DSGVO gewährleistet. Leider geht das OLG dann aber nicht weiter darauf ein, was und wie konkret der Verantwortliche vortragen muss, um sich auf diese Aufnahme berufen zu können. Zum Teil werden in der Rechtsprechung hier ja hohe Anforderungen an die Darlegung und Begründung gestellt.

Kunde trägt falsche E-Mail-Adresse beim Online-Shopping ein – Datenschutzverstoß des Unternehmens?

Im Rahmen des One Stop Shop Verfahrens hat die norwegische Datenschutzbehörde zu einem sehr praxisrelevanten entschieden (pdf, Englisch).

Sachverhalt

Oft kommt es vor, dass Kunden eines Online-Shops aus Versehen eine falsche E-Mail-Adresse im Rahmen des Kaufprozesses eintragen. Oft reicht ja bereits ein falscher Buchstabe oder eine falsche Top Level Domain (.de statt eigentlich .net). Die Folge: Kaufbestätigung, Rechnung etc. gehen an die falsche Adresse und damit die falsche Person (wenn diese E-Mail-Adresse vergeben ist). Genau einen solchen Fall hatte die Datenschutzbehörde zu entscheiden. Der Beschwerdeführer hatte im Bestellprozess seine eigene E-Mail-Adresse falsch eingetragen. Eine andere Person erhielt deshalb die kaufrelevanten Unterlagen. Der Beschwerdeführer ging von einem Verstoß gegen die DSGVO aus, da seiner Ansicht nach das Unternehmen Daten aus zwei Kundenkonten vermischt wurden.

Entscheidung

Die Datenschutzbehörde sah allein durch den Fehlversand von Dokumenten (sicher auch mit personenbezogenen Daten des Beschwerdeführers) an eine andere Person keinen Verstoß gegen die DSGVO.

Das von der Behörde angeschriebene Unternehmen teilte mit, dass es davon ausgeht, dass der Beschwerdeführer versehentlich die falsche E-Mail-Adresse eingegeben hat, als er einen Kauf tätigte. Infolgedessen begann der falsche Kunde, E-Mails zu den Bestellungen des Beschwerdeführers zu erhalten.

Die norwegische Datenschutzbehörde ist der Ansicht, „dass der Fehler für die Registrierung der falschen E-Mail-Adresse beim Beschwerdeführer liegt“. Daher kam die Behörde zu dem Schluss, dass das Unternehmen über angemessene Verfahren und Maßnahmen verfügt um sicherzustellen, dass personenbezogene Daten korrekt aufgenommen werden.

Spannend wäre hier natürlich noch die Frage gewesen, ob auch bei einer normalen Onlinebestellung eine Art Double Opt in Verfahren umzusetzen wäre. Meines Erachtens ist dies nicht zwingend allein wegen Art. 32 DSGVO oder Art. 25 DSGVO erforderlich. Diskutieren mag man diese Option aber sicher.

Aber Achtung: einen DSGVO-Verstoß des Unternehmens gab es dann doch. Der Beschwerdeführer kontaktierte das Unternehmen und forderte eine Berichtigung seiner Daten. Das Unternehmen reagierte auf diese Betroffenenanfrage nach Art. 16 DSGVO (Berichtigung) jedoch zu langsam. Im konkreten Fall dauerte es mehr als 6 Monate, die E-Mail-Adresse zu korrigieren. Die norwegische Datenschutzbehörde ist der Ansicht, dass dies einen Verstoß gegen Art. 12 Abs. 3 DSGVO darstellt. Danach muss der Verantwortliche unverzüglich, in jedem Fall aber innerhalb eines Monats reagieren. Das Unternehmen gelobte diesbezüglich Besserung und die Schaffung eines verbesserten Prozesses zur Berichtigung von Daten.

Rechenschaftspflichten der DSGVO: Rechtmäßigkeit der Verarbeitung personenbezogener Daten in Dokumenten und Aufbewahrungsdauer

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) (zuständig für öffentliche Stellen) hat kürzlich eine neue Orientierungshilfe (PDF) zur Einwilligung nach der DSGVO veröffentlicht.

Eine abstrakt relevante Ansicht findet sich dort zu der Frage, ob und wenn ja, auf welcher Grundlage Verantwortliche personenbezogene Daten verarbeiten dürfen bzw. müssen, um ihren Rechenschaftspflichten, etwa Art. 5 Abs. 2 oder Art. 7 Abs. 1 DSGVO, nachzukommen.

Es geht mithin um die Frage, ob die in Dokumenten enthaltenen personenbezogenen Daten von Betroffenen verarbeitet werden dürfen, auch wenn die eigentliche Verarbeitung der Daten schon beendet ist. Beispiel: Aufbewahrung der einmal erteilten Einwilligung im Fall des Widerrufs. Nach Ansicht der Behörde weist der Verantwortliche damit nach, dass mit der Einwilligung eine Rechtsgrundlage bestand und die darauf beruhende Verarbeitung personenbezogener Daten bis zum  Widerruf der Einwilligung rechtmäßig war.

Diese Gedanke, dass der Nachweis zu einer in der Vergangenheit zulässigen Verarbeitung auch nach deren Beendigung aufbewahrt werden muss, lässt sich auch auf andere Konstellationen und Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO übertragen.

Konkret auf den Fall der Einwilligung führt die Behörde aus:

„Die in der Einwilligungserklärung und dem Widerruf enthaltenen personenbezogenen Daten unterliegen ihrerseits auch dem Recht auf Löschung“.

Diese personenbezogenen Daten werden durch den Verantwortlichen aber nach Art. 6 Abs. 1 lit. c, Abs. 3 lit. a DSGVO verarbeitet. Die vom Verantwortlichen zu erfüllende gesetzliche Verpflichtung ist hier die Nachweispflicht aus Art. 7 Abs. 1 DSGVO. Diese Begründung lässt sich verallgemeinert auf die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO übertragen.

Die in den Nachweisen enthaltenen Daten sind gemäß Art. 17 Abs. 1 lit. a DSGVO zu löschen, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, wenn also Nachweis- und Rechenschaftspflichten eine weitere Aufbewahrung nicht mehr erfordern.

Und wann enden solche Aufbewahrungsfristen? Die DSGVO macht hierzu keine spezifischen Vorgaben.

Nach Ansicht des BayLfD enden sie dann, wenn die Verarbeitung vollständig abgeschlossen ist, die aufgrund der Einwilligung verarbeiteten personenbezogenen Daten beim Verantwortlichen nicht mehr vorhanden sind

und der Verantwortliche kein rechtliches Interesse (etwa mit Blick auf Schadensersatzprozesse, vgl. Art. 17 Abs. 3 lit. e DSGVO) mehr daran hat, den Nachweis noch führen zu können.“

Die Behörde akzeptiert hiermit als wohl auch auch eine Orientierung an Verjährungsvorschriften für Schadensersatzansprüche nach Zivilrecht. Ergänzend würde ich zudem auch noch Verjährungsvorschriften für eine Verhängung von Bußgeldern durch eine Aufsichtsbehörde (§ 31 Abs. 2 OwiG) erwähnen.

Gerade im Bereich der Einwilligung ist zudem eine Änderung im UWG für Telefonwerbung zu beachten. Am 1.10.2021 tritt ein neuer § 7a UWG in Kraft. In Abs. 1 wird vorgegeben, dass Einwilligungen für Telefonwerbung gegenüber einem Verbraucher zum Zeitpunkt der Erteilung in angemessener Form zu dokumentieren und gemäß Abs. 2 S. 1 aufzubewahren. Und Abs. 2 S. 1 gibt vor: „Die werbenden Unternehmen müssen den Nachweis nach Absatz 1 ab Erteilung der Einwilligung sowie nach jeder Verwendung der Einwilligung fünf Jahre aufbewahren„.

Finanzgericht: Auskunftsrecht nach Art. 15 Abs. 1 DSGVO ist nicht mit einem Akteneinsichtsrecht identisch

Das Finanzgericht Baden-Württemberg (FG) hatte sich mit der Frage des Umfangs des Auskunftsanspruchs nach Art. 15 DSGVO und dessen Geltendmachung zum Zweck der Akteneinsicht zu befassen. Im Ergebnis lehnt das FG mit Urteil vom 26.7.2021 (Az. 10 K 3159/20) einen solchen Anspruch ab.

Sachverhalt

Vor dem FG streitig war, ob dem Kläger aufgrund von Art. 15 Abs. 1 DSGVO ein Anspruch auf Akteneinsicht in die Handakten im Rahmen einer Betriebsprüfung zusteht. Der Kläger ist selbstständiger Apotheker und der Beklagte führte eine Betriebsprüfung bei diesem durch. In diesem Zuge kam es zu Besprechungen zwischen der Steuerberaterin des Klägers und der Betriebsprüferin wegen angeblicher fehlender Ordnungsmäßigkeit der Buchführung. Der Kläger begehrte Akteneinsicht im laufenden Verfahren, welche jedoch abgelehnt wurde. Am Ende lief es darauf hinaus, dass der Kläger durch seinen Prozessbevollmächtigten Klage beim Finanzgericht Baden-Württemberg einreichte. Zur Begründung führt er aus, die Klage richte sich gegen die Ablehnung der Akteneinsicht in die Handakte der Betriebsprüfung. Aus Art. 15 Abs. 1 DSGVO folge ein gebundener Anspruch auf Übersendung der Akten an den Prozessbevollmächtigten des Klägers, der nicht zeitlich eingeschränkt sei und damit auch im laufenden Betriebsprüfungsverfahren bestehe.

Entscheidung

Das FG geht davon aus, dass ein gebundener Anspruch auf Akteneinsicht nicht durch das Recht auf Auskunft über personenbezogene Daten nach Art. 15 Abs. 1 DSGVO begründet wird und lehnte die Klage als unbegründet hab.

Nach Ansicht des FG ist die DSGVO jedenfalls bei einer Betriebsprüfung, die sich neben anderen Steuerarten auch auf die Umsatzsteuer erstreckt, insgesamt anwendbar.

Danach geht das FG etwas ausführlicher als andere Gerichte in Entscheidungen zu Art. 15 DSGVO zunächst auf den Sinn und Zweck des Auskunftsanspruchs ein.

Regelungsziel der DSGVO ist der in Art. 8 Abs. 1 Charta der Grundrechte der Europäischen Union (GRC) und Art. 16 Abs. 1 Vertrag über die Arbeitsweise der Europäischen Union (AEUV) gewährleistete Schutz natürlicher Personen bei der Verarbeitung der sie betreffenden personenbezogenen Daten. Bereits auf der Ebene der Grundrechtecharta ist das Recht jeder Person verankert, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken (Art. 8 Abs. 2 Satz 2 GRC).

Die Betroffenenrechte der DSGVO wurzeln in der Erwägung des europäischen Normgebers, dass der Einzelne selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen können muss. Natürliche Personen sollen daher grundsätzlich die Kontrolle über ihre eigenen Daten besitzen (Erwägungsgrund 7 Satz 2 zur DSGVO)

Das FG macht in seiner Begründung also zunächst deutlich, wie wichtig die Betroffenenrechte und gerade das Auskunftsrecht sind.

Das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO und das Recht auf Erhalt einer Kopie gemäß Absatz 3 der Vorschrift erweisen sich damit als elementare subjektive Datenschutzrechte, da erst die Kenntnis darüber, ob und in welchem Umfang ein Verantwortlicher personenbezogene Daten verarbeitet, die betroffene Person in die Lage versetzt, weitere Rechte auszuüben

Weiter geht das FG davon aus, dass die frühere Rechtsprechung des EuGH zur Datenschutz-Richtlinie auf die Auslegung des Art. 15 DSGVO anwendbar ist. Denn der europäische Gesetzgeber wolle mit der DSGVO an die Ziele und Grundsätze der Datenschutzrichtlinie anknüpfen. Daher biete die in der Rechtsprechung vorgenommene Charakterisierung des Auskunftsanspruchs aus Art. 12 Buchst. a Datenschutz-Richtlinie auch Hinweise auf das Verständnis des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO.

Aber das Auskunftsrecht diene nach der Rechtsprechung des EuGH nicht der Schaffung eines Zugangs zu Verwaltungsdokumenten, weil dies nicht die Zielrichtung des europäischen Datenschutzrechts ist (EuGH-Urteil vom 17. Juli 2014, C-141/12, Rn. 46).

Zudem stellt das FG fest, dass die Erfüllung des Anspruchs („Ob“ der Auskunftserteilung) nach Art. 15 Abs. 1 DSGVO nicht im Ermessen der Finanzbehörde stehe. Das „Wie“ der Auskunftserteilung werde durch Art. 15 Abs. 1 Halbsatz 2 DSGVO jedoch nicht geregelt, so dass hieraus allein kein Akteneinsichtsrecht abgeleitet werden könne.

Das FG arbeitet dann nach und nach Argumente dafür heraus, was den Auskunftsanspruch nach Art. 15 DSGVO von einem Akteneinsichtsrecht unterscheidet.

Einem vollumfassenden Akteneinsichtsanspruch bei der Finanzbehörde sei etwa schon aus sprachlichen Gründen zu widersprechen,

da sich Art. 15 DSGVO dem Wortlaut nach nur auf bestimmte personenbezogene Daten bezieht und nicht auf eine allgemeine Einsicht in die Akten

Zudem sei das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO auch nicht mit einem Akteneinsichtsrecht identisch. Das Akteneinsichtsrecht beruhe vornehmlich auf dem Grundsatz des rechtlichen Gehörs (Art. 103 Abs. 1 Grundgesetz) und soll den Anspruchsteller in die Lage versetzen, die Grundlagen einer Verwaltungsentscheidung nachzuvollziehen.

Und weiter: „Ein Akteneinsichtsrecht geht stets über ein bloßes Auskunftsrecht hinsichtlich der verarbeiteten personenbezogenen Daten hinaus; so ergeben sich aus einer Akteneinsicht regelmäßig auch rechtliche Stellungnahmen, Entscheidungsentwürfe und Berechnungen der Amtsträger, Dienstanweisungen oder Ermittlungsergebnisse, die schon dem Grunde nach nicht unter den Schutzbereich der DSGVO und des § 32c AO fallen.“

Das FG stellt hier meines Erachtens zurecht die verschiedenen Zielrichtungen und Zweck der beiden Ansprüche bzw. Rechte gegenüber. Ein datenschutzrechtlicher Anspruch kann auch ohne Akteneinsicht erfüllt werden, indem dem Betroffenen im Fall der Verarbeitung personenbezogener Daten die konkreten Daten sowie die Einzelangaben i.S. von Art. 15 Abs. 1 Halbsatz 2 DSGVO mitgeteilt werden. Diese Aussage des FG ist für die geführte Diskussion um die Reichweite des Art. 15 (sowohl Abs. 1 als auch Abs. 3) relevant.

Nach Ansicht des FG enthält die DSGVO keine Regelung über die Gewährung von Akteneinsicht, sondern lediglich über punktuelle datenschutzrechtliche Auskunftsrechte wie z.B. über die Zwecke der Verarbeitung, die Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere Empfänger in Drittländern oder internationale Organisationen sowie falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Zuletzt hält das FG die Durchführung eines Vorabentscheidungsverfahrens nach Art. 267 AEUV zur Klärung der Form der Auskunftserteilung i.S. des Art. 15 Abs. 1 DSGVO für nicht geboten.

Fazit

Die Entscheidung des FG ist meiner Ansicht nach deswegen interessant, weil das Gericht sehr wohl die Bedeutung der Betroffenenrechte und des Auskunftsrechts erkennt und herausarbeitet. Dann jedoch diesen Anspruch in seiner Zielrichtung und seinem Umfang klar von einem Akteneinsichtsrecht abgrenzt und es damit ablehnt, auf Grundlage von Art. 15 Abs. 1 und 3 DSGVO komplette Akteninhalte (in denen sich auch personenbezogene Daten des Betroffenen befinden) herauszugeben.

Landgericht: Auskunftsanspruch nach Art. 15 DSGVO wegen Rechtsmissbrauch abgelehnt

Das Landgericht (LG) Wuppertal hat mit Urteil vom 29.7.2021 (Az. 4 O 409/20) eine interessante Entscheidung in einer heiß diskutierten Frage rund um die Geltendmachung von Auskunftsansprüchen gefällt. In seiner Entscheidung geht das LG zum einen davon aus, dass einem Auskunftsbegehren nach Art. 15 DSGVO der Einwand des Rechtsmissbrauchs nach § 242 BGB entgegengehalten werden kann. Zudem legt das LG im konkreten Fall die Voraussetzungen dar, wann ein solcher Missbrauch vorliegt.

Sachverhalt

In dem Verfahren wendet sich der Kläger gegen vermeintliche und tatsächliche Prämienerhöhungen seiner bei der beklagten Versicherung unterhaltenen privaten Kranken- und Pflegeversicherung. Der Kläger fordert die beklagte Versicherung unter anderem auf, ihm Auskunft über alle Beitragsanpassungen zu erteilen, die die Beklagte in dem zwischen den Parteien geschlossenen Vertrag in den Jahren 2014, 2015, 2016 vorgenommen hat und hierzu geeignete Unterlagen zur Verfügung zu stellen, um etwaige weitere Ansprüche beziffern zu können. Er wollte etwa Unterlagen übergeben bekommen, die Angaben zur Höhe der Beitragserhöhungen für die Jahre 2014, 2015, 2016, unter Benennung der jeweiligen Tarife im Versicherungsverhältnis der Klägerseite, enthalten. Er bezog sich dabei auch auf ihm als Kläger in der Vergangenheit übersandte Unterlagen, wie etwa dem übermittelten Informationen in Form von Anschreiben und Nachträgen zum Versicherungsschein der Jahre 2014, 2015, 2016.

Der Kläger stützt sein Auskunftsbegehren auf mehrere Anspruchsgrundlagen, unter anderem auch auf Art. 15 DSGVO.

Entscheidung

Das LG wies die Auskunftsbegehren als unbegründet ab. Dem Kläger stehe keine Anspruchsgrundlage zur Seite, aufgrund derer die Beklagte zur Informationserteilung verpflichtet wäre.

Spannend ist hier natürlich die Begründung des LG zum geltend gemachten Auskunftsanspruch nach Art. 15 DSGVO. Denn wie wir aus der Vergangenheit wissen, wird dieser Anspruch (auch von der Rechtsprechung) per se sehr weit ausgelegt.

Das Gericht lehnt einen Auskunftsanspruch des Klägers basierend auf Art. 15 DSGVO jedoch ab.

„Ihm steht der sich aus § 242 BGB ergebende Einwand des Rechtsmissbrauchs entgegen“.

Das ist in dieser Deutlichkeit meines Erachtens eine ziemliche Überraschung (auch wenn ich das Ergebnis für richtig halte). Denn in der Vergangenheit gab es wenige Entscheidungen, die sich mit der Frage des Missbrauchs befassten. Und wenn ja, wurde dieser Einwand zumeist abgelehnt (vgl. etwa LG Köln, Urt. v. 11.11.2020 – 23 O 172/19). Es gab aber vereinzelt auch Entscheidungen, die eine zweckfremde Ausübung des Auskunftsanspruchs ablehnten (vgl. mein Beitrag zur Entscheidung des LSG NRW vom 17.6.2021).

Das LG erläutert hier zunächst, dass es sich bei dem Einwand des Rechtsmissbrauchs um einen das gesamte Rechtsleben durchziehenden Grundsatz handele, der als nationale Ausformung auch im Rahmen des Art. 15 DSGVO Geltung beanspruche. Diese Ansicht wird man, das muss man zugestehen, wohl zumindest diskutieren können. Es stehen sich hier die unmittelbar anwendbare DSGVO und nationales Zivilrecht gegenüber. Fraglich ist, ob zB die DSGVO abschließend Missbrauchssituationen erfasst und regelt? Das LG scheint dies nicht so zu sehen.

Nach diesem Grundsatz des Rechtsmissbrauchs ist die Ausübung eines Rechts u. a. nicht erlaubt, wenn der Anspruchsinhaber eine formale Rechtsstellung ausnutzt oder etwas geltend macht, an dem er kein schützenswertes Eigeninteresse hat. Nach Ansicht des LG liegen genau diese beiden Aspekte hier kumulativ vor und

verdichten sich zu einem treuwidrigen Verhalten“.

Wichtig in diesem Fall ist der klare Wille des Klägers, auf den das LG seine Begründung stützt. Denn nach dem Willen des Klägers soll das begehrte Auskunftsbündel ausschließlich der Verfolgung von Leistungsansprüchen dienen.

Und hierzu stellt das LG meines Erachtens zurecht fest:

Dabei handelt es sich um einen vollkommen verordnungsfremden Zweck“.

Nach ErwG 63 DSGVO, diene das Auskunftsrecht aus Art. 15 DSGVO dem Betroffenen vielmehr dazu, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. So soll Art. 15 DSGVO eine Rechtmäßigkeitskontrolle der Datenverarbeitungsvorgänge ermöglichen. Der Betroffene soll den Umfang und Inhalt der gespeicherten Daten beurteilen können. Die Auskünfte dienen auch dazu, der betroffenen Person die Wahrnehmung der weiteren Rechte nach der Datenschutzgrundverordnung zu ermöglichen, vor allem das Recht auf Berichtigung nach Art. 16 DSGVO, auf Löschung nach Art. 17 DSGVO und auf Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Dies ist vorliegend jedoch eindeutig nicht der Fall.

Der Kläger hat keines der vorgenannten Interessen, dies nicht einmal als Reflex. Das Auskunftsbegehren soll sich nach seinem klar geäußerten Willen allein darin erschöpfen, etwaige geldwerte Ansprüche gegen die Beklagte zu prüfen. Damit trifft das Begehren des Klägers nicht einmal den Titel der Verordnung, nämlich den Datenschutz“.

Diesen letzten Satz finde ich in seiner bildlichen Sprache passend. Auch aus eigener Erfahrung kann ich sagen, dass in der Praxis Auskünfte nach Art. 15 DSGVO geltend gemacht werden, bei denen jedem Beteiligten völlig klar ist, dass es dem Betroffenen überhaupt nicht um den „Datenschutz“ geht, sondern der Anspruch nur ein Vehikel zur Verbesserung der eigenen Position darstellt.

Das LG begründet weiter:

Ein Begehren, das sich derart weit von dem Regelungsinhalt einer Rechtsgrundlage entfernt hat, ist nicht schützenswert. In diesem Zusammenhang ist zu berücksichtigen, dass der Verordnungsgeber nicht etwa ein situationsunabhängiges Auskunftsrecht von Verbrauchern gegenüber Unternehmen schaffen wollte, welches im allgemeinen Rechtsverkehr nicht besteht. Vielmehr hat er die zu erteilenden Auskünfte explizit an den Zweck des Datenschutzes gebunden (vgl. Erwägungsgrund 63 DSGVO).

Fazit

Das Urteil des LG ist meines Erachtens bemerkenswert, wenn auch sicher streitbar. Für die Praxis ist es relevant, da hier ein Landgericht den Einwand des Missbrauchs gegen einen Auskunftsanspruch begründet ablehnt.

Bundesarbeitsgericht fragt den EuGH: wie ist das Verhältnis von Art. 9 Abs. 2 DSGVO zu Art. 6 Abs. 1 DSGVO und welche Faktoren spielen beim Schadensersatz nach Art. 82 DSGVO eine Rolle?

Das Bundesarbeitsgericht (BAG) legt dem EuGH mit Beschluss vom 26.08.2021, 8 AZR 253/20 (A) einige praxisrelevante Fragen vor, die nicht nur speziell den Bereich des Beschäftigtendatenschutzes betreffen.

Eine Frage des BAG ist etwa, ob die Zulässigkeit bzw. Rechtmäßigkeit der Verarbeitung von Gesundheitsdaten davon abhängt, dass mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Voraussetzungen erfüllt ist?

Hierbei geht es um die durchaus umstrittene Frage, ob neben der Erfüllung einer Ausnahme nach Art. 9 Abs. 2 DSGVO zusätzlich ein Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO erfüllt sein muss. Rein praktisch würde dies oft zusätzlichen Prüfungs- bzw. Rechtfertigungsaufwand bedeuten.

Zwei weitere Fragen des BAG betreffen den Schadensersatzanspruch nach Art. 82 DSGVO.

Zum einen fragt das BAG, ob Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter hat und ob dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtigt werden muss? Die Antwort des EuGH auf diese Frage dürfte ebenfalls insgesamt für Schadensersatzansprüche in Zukunft relevant sein, da sie generell den Charakter dieses Anspruchs und seine Zielrichtung betrifft.

Zum anderen fragt das BAG, ob es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters ankommt? Insbesondere möchte das BAG wissen, ob ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden darf?

Schwedische Datenschutzbehörde: wann werden personenbezogene Daten „unverzüglich“ gelöscht?

Nach Art. 17 Abs. 1 DSGVO hat die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen.

In der Praxis stellt sich oft die Frage, wie schnell denn nun Daten zu löschen sind? Was also „unverzüglich“ bedeutet (ausführlicher haben sich Philipp Quiel und ich hiermit in unserem Beitrag zur Herbstakademie 2020 „Bestimmt unbestimmt – Vorschläge zur Auslegung und Anwendung unklarer Formulierungen in der Datenschutz-Grundverordnung“ (DSRITB 2020, 1) befasst).

Generell ist bei der Anwendung von Unionsrecht (wie hier der DSGVO) zu beachten, dass bei einer unionsrechtlich autonom erfolgenden Interpretation rein nationale Rechtsverständnisse in der Regel nur sehr begrenzt zur Klärung des Regelungsinhalts einer Norm hinzugezogen werden können. Daher ist es meines Erachtens auch nicht richtig, bei der Auslegung eines europäischen Rechtsbegriffs wie „unverzüglich“ allein auf tradierte nationale Verständnisse abzustellen, wie etwa auf § 121 Abs. 1 S. 1 BGB und das Verständnis von „ohne schuldhaftes Zögern (unverzüglich)“. Hierfür wird davon ausgegangen, dass ein Zuwarten von zwei Wochen als nicht mehr unverzüglich anzusehen ist, wenn keine besonderen Umstände vorliegen (MüKom/BGB, 8. Aufl. 2018, § 121 Rn. 7).

Die schwedische Datenschutzbehörde hat nun in einem Prüfverfahren (PDF) (welches im One Stop Shop Verfahren nach der DSGVO bearbeitet wurde) entschieden, dass eine Löschung von personenbezogenen Daten innerhalb von 16 Tagen als „unverzüglich“ anzusehen war. Dies zeigt deutlich, dass bei Auslegung und Anwendung der DSGVO der rein nationale Blick oft zu kurz greift. Zum anderen gibt diese Entscheidung für die Praxis zumindest einen ersten Anhaltspunkt dafür, was aus Behördensicht eine „unverzügliche“ Löschung bedeuten kann.

Verwaltungsgericht: Recht auf Datenübertragbarkeit umfasst nicht Auswertungen oder Analysen

Gerichtliche Entscheidungen zum Recht auf Datenübertragbarkeit nach Art. 20 DSGVO sind sehr rar. Im März 2021 hatte sich nun das VG Weimar (Beschl. v. 02.03.2021, 3 E 209/21) zumindest am Rande mit dem Anwendungsbereich der Norm beschäftigt (jedoch direkt der Hinweis, dass keine tiefgehenden Ausführungen erfolgten).

Das VG hatte in einem Verfahren zum vorläufigen Rechtsschutz zu einem Antrag nach § 123 VwGO zu entscheiden. Der Antragsteller verlangte, dem Antragsgegner im Wege der einstweiligen Anordnung aufzugeben, „die Approbationsurkunde des Antragstellers über den Auftragsdatenverarbeiter D… zu verifizieren und elektronisch zu übermitteln“.

Das VG sah den Antrag jedoch nur zum Teil als begründet an. Der Antragsteller hat einen Anspruch auf eine elektronische Abschrift der Approbationsurkunde und darauf, diese an eine vom Antragsteller zu benennende E-Mail-Adresse zu versenden.

Jedoch lehnt das VG einen Anspruch auf elektronische Verifizierung ab (wobei ich ehrlich sagen muss, dass mir nicht ganz klar ist, was damit gemeint war). Es fehlte an einem Anordnungsanspruch, soweit der Antragsteller vom Antragsgegner eine elektronische Verifizierung seiner Approbationsurkunde begehrte.

Der Antragsteller stützte seinen Anspruch auf elektronische Verifizierung seiner Approbationsurkunde u.a. auf Art. 20 Abs. 1 und 2 DSGVO. Das VG ließ offen, ob und inwieweit die begehrte Verifizierung der Approbationsurkunde überhaupt vom Anspruchsinhalt des Art. 20 DSGVO umfasst ist.

Denn es fehle hier in jedem Fall an tatbestandlichen „Daten“ im Sinne der Vorschrift. Art. 20 Abs. 1 DSGVO verlangt, dass zu einer Person „sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat“ vorliegen müssen.

Nach Ansicht des VG zählen hierzu

nur diejenigen Daten, die die betroffene Person zuvor dem Verantwortlichen übermittelt hat. Von vornherein nicht erfasst sind Daten, die erst das Ergebnis einer Auswertung durch den Verantwortlichen darstellen“.

Leider begründet das VG seine Ansicht nicht näher und verweist auf die Literatur. In der Vergangenheit wurde durchaus diskutiert, was unter „bereitgestellte“ Daten fällt. Nach Ansicht (pdf) der ehemaligen Art. 29 Gruppe umfasst der Begriff auch personenbezogene Daten, die sich auf die Aktivität der betroffenen Person beziehen oder das Ergebnis einer Beobachtung des Verhaltens einer Person (jedoch nicht einer nachfolgenden Analyse dieses Verhaltens) sind (S. 12). Die Ansicht des VG scheint auch in diese Richtung zu gehen, wobei das VG auf eine „Übermittlung“ abstellt und damit wohl eine bewusste Aktivität der Betroffenen als erforderlich ansieht. Dies verlangt die Art. 29 Gruppe in ihrer Leitlinie gerade nicht.  

Landessozialgericht NRW zur zweckfremden Ausübung und zum beschränkten Umfang des Auskunftsrechts nach Art. 15 DSGVO

In dem Verfahren vor dem Landessozialgericht (Beschl. v. 17.6.2021, L 15 U 144/21 B ER) ging es um eine Beschwerde im Sozialrecht, die inhaltlich jedoch Schnittmengen zum Datenschutzrecht aufweist. Der Antragsteller (und gleichzeitig Betroffener nach DSGVO) legte Beschwerde gegen eine Entscheidung des Sozialgerichts Dortmund ein. Dieses hatte seinen Antrag, im Wege einer einstweiligen Anordnung seinen in einem weiteren Verfahren gestellten Anträgen zu entsprechen abgelehnt. Mit diesen Anträgen sollte die Antragsgegnerin im Wege einer einstweiligen Anordnung verpflichtet werden, ihm die ihn betreffende Verwaltungsakte betreffend die Anerkennung und Folgen eines Arbeitsunfalls (betrieblich veranlasste Impfung mit anschließendem Guillain-Barré-Syndrom) mit dem Aktenzeichen 15 S 11 2010 012489 ab Seite 4658 in Kopie sowie vollständig in einer auf CD-ROM gespeicherten elektronischen Version kostenlos zur Verfügung zu stellen. Man ahnt bereits: es geht (auch) um einen Auskunftsanspruch nach Art. 15 DSGVO.

Das Landessozialgericht (LSG) wies die Beschwerde als unbegründet.

Das LSG begründet seine Ablehnung vor allem sozialverfahrensrechtlich. Der Antrag auf Erlass der einstweiligen Anordnung ist bereits gemäß § 56a Satz 1 SGG unzulässig. Nach § 56a Satz 1 SGG können Rechtsbehelfe gegen behördliche Verfahrenshandlungen (hier: die Herausgabe von Unterlagen) nur gleichzeitig mit den gegen die Sachentscheidung zulässigen Rechtsbehelfen geltend gemacht werden. Zu diesen Verfahrenshandlungen, die danach nicht selbständig angegriffen werden können, gehört nach Ansicht des LSG auch die Verweigerung oder Beschränkung von Akteneinsicht, namentlich auch die Verweigerung der Übersendung von kostenlosen Kopien der Verwaltungsakte.

Aus datenschutzrechtlicher Sicht interessant ist die ergänzende Begründung des LSG zu Art. 15 DSGVO. Der Antragsteller hatte den Auskunftsanspruch wohl zusätzlich auf Art. 15 Abs. 3 DSGVO gestützt. Dies stellt eine Parallele zu Verfahren in anderen Rechtsgebieten dar, wie etwa im Arbeits- oder Medizinrecht, in denen Betroffene vermehrt Anträge auf Einsichtnahme oder Übersendung von Dokumenten zusätzlich auf Art. 15 Abs. 3 DSGVO stützten.

Nach Ansicht des LSG scheidet die Anwendung von § 56a Satz 1 SGG auch nicht deshalb aus, weil der Antragsteller sein Begehren zusätzlich auf datenschutzrechtliche Vorschriften stützt. Das LSG entscheidet (hier noch) nicht zur Reichweite von Art. 15 Abs. 3 DSGVO („Unabhängig davon, ob die vom Antragsteller als Anspruchsgrundlage genannte Vorschrift des Art 15 Abs. 3 Datenschutzgrundverordnung (DSGVO) inhaltlich sein Begehren stützt“), sondern lehnt die Anwendung von Art. 15 Abs. 3 DSGVO bereits aus einem anderen Grund, nämlich den Motiven des Antragstellers, ab.

Das LSG begründet dies wie folgt: „verfolgt der Antragsteller nach seinem gesamten Vorbringen im vorliegenden Verfahren wie auch im Hauptsachverfahren S 79 U 884/18 allein das Ziel, durch die begehrte kostenlose Zurverfügungstellung der Kopie der streitgegenständlichen Verwaltungsakte in Papierform sowie in einer auf Datenträger gespeicherten Version seine verfahrensrechtlichen Rechte u.a. in den Verfahren S 79 U 911/16 und S 79 U 275/17 zu sichern und die seiner Auffassung nach bestehenden Ansprüche auf Heilbehandlung und Verletztenrente effektiver verfolgen zu können. Um die Wahrung seines Rechts auf informationelle Selbstbestimmung geht es ihm offensichlich nicht, zumal ihm auch bekannt ist, über welche seiner personenbezogenen Daten die Antragsgegnerin verfügt. § 56a Satz 1 SGG ist dementsprechend nach seinem Sinn und Zweck einschlägig“.

Das LSG geht mithin davon aus, dass der geltend gemachte Anspruch auf Erhalt einer Kopie nach Art. 15 Abs. 3 DSGVO gegenüber § 56a S. 1 SGG nicht vorrangig gilt, weil der Antragsteller diesen Anspruch vorliegend gerade nicht geltend macht, um Zugang zu seinen personenbezogenen Daten zu erhalten bzw. darauf basierend weitere Betroffenenrechte geltend zu machen (vgl. ErwG 63 DSGVO). Der Antragsteller möchte Art. 15 Abs. 3 DSGVO dazu nutzen („allein das Ziel“) durch die begehrte kostenlose Zurverfügungstellung der Kopie der Verwaltungsakte in Papierform sowie in einer auf Datenträger gespeicherten Version seine verfahrensrechtlichen Rechte zu sichern und die seiner Auffassung nach bestehenden Ansprüche auf Heilbehandlung und Verletztenrente effektiver zu verfolgen.

Diese Begründung des LSG ist deshalb interessant, weil sie, abstrahiert betrachtet, auch in anderen Rechtsgebieten Anwendung finden könnte. Wird etwa ein Antrag nach Art. 15 Abs. 3 DSGVO offensichtlich allein deshalb gestellt, um schuld- oder haftungsrechtliche Ansprüche im Bereich des Arbeits- oder Medizinrechts zu verfolgen, könnte die Begründung des LSG dazu führen, diese Ansprüche abzulehnen. Erforderlich ist aber wohl nach Ansicht des LSG, dass absolut klar ist, dass der Anspruch nicht aus Datenschutzgesichtspunkten geltend gemacht wird. Zudem lässt sich darüber diskutieren, auf welcher Norm der DSGVO der Ausschluss begründet werden könnte. Evtl. mag man hier mit Art. 12 Abs. 5 DSGVO („offenkundig unbegründeten“) argumentieren.

In dem letzten de lege data Newsletter 6/2021 habe ich einen Beitrag zu dem Thema „Kennt die DSGVO eine „missbräuchliche“ Ausübung von Betroffenenrechten?“ veröffentlicht, der etwas tiefer in diese Frage einsteigt.

Zudem lehnt das LSG im vorliegenden Verfahren einen Anspruch aus Art. 15 Abs. 3 DSGVO aber auch inhaltlich ab.

Art. 15 Abs. 3 DSGVO beziehe sich ausschließlich auf personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO.

Darum geht es dem Antragsteller jedoch nicht, denn ihm sind sämtliche Informationen, die sich auf ihn beziehen und die Gegenstand der Verarbeitung der Antragsgegnerin im Sinne von Art. 4 Nr. 2 DSGVO sind, bereits bekannt. Ziel seines Begehrens ist ausweislich seines Vorbringens im Schriftsatz vom 20.03.2021 vielmehr, die genaue Struktur und die Seitenzahlen der streitgegenständlichen Verwaltungsakte zu erfahren, damit er etwaige Bezugnahmen der Antragsgegnerin auf einzelne Seiten der Verwaltungsakte in den anhängigen Klageverfahren nachvollziehen kann“.

Das LSG begründet hier also im Tatbestand des Art. 15 Abs. 3 DSGVO, dass es dem Betroffenen ganz eindeutig (weil er es selbst so begründet) nicht um personenbezogene Daten geht. In diesem Fall war sicher besonders, dass der Antragsteller diese Begründung (außerhalb des Datenschutzes) auch och selbst explizit lieferte. Nach Ansicht des LSG richtet sich aber Art. 15 DSGVO eben gerade allein auf einen Zugang zu personenbezogenen Daten.

Danach folgen einige sehr praxisrelevante Ansichten des LSG, die in der Literatur bzw. von anderen Gerichten natürlich auch (schon) anders beurteilt werden, meines Erachtens derzeit absolut vertretbar sind.

Erstens:Die Ansprüche aus Art. 15 Abs. 1 und 3 DSGVO erstrecken sich jedoch nicht auf rein interne Verwaltungsvorgänge, rechtliche Bewertungen und Analysen, sondern sollen sicherstellen, dass die Betroffenen den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen können. Sie dienen allein dem Schutz des Rechts auf informationelle Selbstbestimmung und nicht wie die aus § 25 SGB X und § 120 SGG folgenden Akteneinsichtsrechte dazu, rechtliches Gehör oder „Waffengleichheit“ in einem gerichtlichen Verfahren zu gewährleisten“.

Zweitens:Art. 15 DSGVO begründet dementsprechend keinen Anspruch der betroffenen Person auf Kopien aller sie betreffenden Schriftstücke, Dateien oder Akten selbst, sondern lediglich auf eine aggregierte Auskunft bzw. zusammenfassende Übersicht über in Schriftstücken oder Dateien enthaltene bzw. gespeicherte oder verarbeitete aussagekräftige einzelne konkrete personenbezogene Daten der betroffenen Person bzw. eine Kopie dieser Daten“. Das LSG tendiert damit zu einer stark am Sinn und Zweck des Art. 15 Abs. 3 DSGVO orientierten Auslegung. Meines Erachtens ist dies der richtige Weg. Natürlich wird es aber auch Ansichten geben, die bereits den Sinn und Zweck weiter verstehen, als das LSG.