Art. 15 Abs. 1 DSGVO definiert den Auskunftsanspruch über personenbezogene Daten. In der Literatur werden verschiedenste Auffassungen zum Umfang des Auskunftsanspruches vertreten. Jetzt haben auch das Landgericht Köln und das OLG Köln sich mit dieser Norm beschäftigt und in ihren Entscheidungen (LG Köln, Teilurteil vom 18.03.2019, Az. 26 O 25/18 und OLG Köln, Urteil vom 27.07.2019) zum Umfang des Datenauskunftsanspruch Stellung genommen.
Achtung: Das Urteil des OLG Köln ist nicht das Berufungsurteil der hier besprochenen Entscheidung des LG Köln. Es handelt sich um parallel stehende Entscheidungen mit ähnlichem Sachverhalt.
Sachverhalte
In den entschiedenen Fällen stritten jeweils der Kläger mit der Beklagten unter anderem um Auskunftsansprüche, die im Zusammenhang mit Lebensversicherungsverträgen entstanden sind. Nachdem die jeweilige Beklagte dem jeweiligen Kläger ihrer Auffassung nach umfassend Auskunft erteilt hatte, klagte der Kläger seinen Auskunftsanspruch ein.
Der Kläger meinte, dass durch die Beklagte keine vollständige Datenauskunft erfolgt sei. Dementgegen ging die Beklagte davon aus, dass ein eine vollständige Datenauskunft erfolgt sei und ein Auskunftsanspruch sich nicht auf die Übersendung von Beratungsprotokollen oder gegebenenfalls vorliegenden Mitarbeitervermerken (!!) erstrecke.
Interessant ist bei den nachfolgend wiedergegebenen Entscheidungen, dass diese zu unterschiedlichen Ergebnissen kommen. Aber sehen Sie selbst:
Entscheidung des LG Köln
Das LG Köln versagte den begehrten Auskunftsanspruch des Klägers. Das Landgericht war der Ansicht, dass Art. 15 Abs. 1 DSGVO der jeweiligen Person einen umfassenden Anspruch auf Auskunft über verarbeitete, sie betreffende personenbezogene Daten sowie weitere Informationen zustehe und diese Information unter anderem auch Verarbeitungszwecke, die Empfänger von Daten und die geplante Dauer der Speicherung (Art. 15 Abs. 1 lit. a-c DSGVO) enthalten müssten.
Dabei seien „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen und „Verarbeitung von Daten“ stelle jeder Vorgang im Zusammenhang mit gespeicherten oder verarbeiteten personenbezogenen Daten dar. Dies beinhalte Merkmale wie Namen, Geburtsdatum genauso, wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, also z.B. Gesundheitsdaten, Kontonummer usw. Nach diesen Grundsätzen würden ärztliche Unterlagen, Gutachten oder sonstige vergleichbare Mitteilungen anderer Quellen „personenbezogene Daten“ darstellen, so das LG Köln.
Diesen weit gefassten Begriff der „personenbezogenen Daten“ schränkte das LG Köln anschließend im Rahmen des Auskunftsanspruches nach Art. 15 DSGVO wieder ein. Demzufolge beziehe sich der Auskunftsanspruch insbesondere nicht auf interne Vorgänge der Beklagten, interne Vermerke oder sämtlichen Schriftverkehr und Emailverkehr der dem Betroffenen bereits bekannt ist. Da der Anspruch aus Art. 15 DSGVO gerade nicht der vereinfachten Buchführung des Betroffenen diene, sondern lediglich sicherstellen soll, dass der Betroffene den Inhalt der gespeicherten Daten beurteilen kann, sollen solche Informationen gerade nicht von dem Auskunftsanspruch umfasst sein. Folgerichtig bestimme Art. 15 Abs. 3 DSGVO, dass der Betroffene eine Kopie nur der personenbezogenen Daten erhalten könne, die Gegenstand der Verarbeitung seien.
In dem zu entscheidenden Fall hat die Beklagte angegeben, dass bei ihr keine weiteren gespeicherten Daten vorliegen würden. Es fehle an einem substantiierten, das heißt konkreten Vortrag des Klägers, welche Daten über die angegebenen Daten hinaus noch verarbeitet sein könnten. Dazu wäre, wie sich aus dem der DSGVO zugrundeliegenden Erwägungsgrund ergibt, ein konkreter Vortrag, dass die Auskunft unvollständig sei und zu welchen Informationen oder Verarbeitungsvorgängen weitere Auskunft verlangt werde erforderlich gewesen.
Entscheidung des OLG Köln
Anders als das LG Köln, entschied das OLG Köln für einen ähnlich gelagerten Fall, dass ein Auskunftsanspruch nach Art. 15 DSGVO bestehe (siehe hierzu Rn. 71 ff.)
Insoweit greift das OLG Köln die Auffassung des Bundesverfassungsgerichts (BVerfG, 15.12.1983, Az. 1 BvR 209/83) auf, die besagt, dass es keine belanglosen Daten mehr gebe. Daher handele es sich auch ohne weiteres bei Gesprächsvermerken und Telefonnotizen in denen Aussagen des Klägers oder Aussagen, die über den Kläger festgehalten werden, um personenbezogene Daten, die dem Auskunftsanspruch unterliegen.
Dass ein derart weit gefasster Begriff der personenbezogenen Daten Geschäftsgeheimnisse der Beklagten verletzten könnte, komme vorliegend nicht in Betracht. Dies insbesondere unter Berücksichtigung, dass es sich in dem hier zu entscheidenden Fall um Angaben handele, die der Kläger gegenüber der Versicherung gemacht habe und ihm gegenüber somit kein Geschäftsgeheimnis darstellen könnten.
Fernliegend sei auch die Behauptung der Beklagten, dass es mit den ihr zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich sei Dateien auf personenbezogene Daten zu durchsuchen und zu sichern. Es sei Sache des Unternehmens, welches sich der elektronischen Datenverarbeitung bedient, diese im Einklang mit der Rechtsordnung zu bringen und insbesondere dafür Sorge zu tragen, dass der Datenschutz gegenüber Dritten gewahrt wird.
Ob ein Anspruch auf Kopie nach Art. 15 Abs. 3 DSGVO vorliegt, entschied das OLG Köln im Gegensatz zum Landgericht nicht, da der Kläger einen dementsprechenden Anspruch nicht gestellt habe. Anders als das Landgericht bezieht sich das OLG Köln aber auch in seiner Entscheidung nicht auf den Art. 15 Abs. 3 DSGVO um das Auskunftsrecht hiernach einzuschränken. Dadurch bleibt es nach dem OLG Köln bei einem vollumfänglichen Auskunftsrecht.
Persönliche Würdigung
Die Entscheidungen aus Köln zeigen zunächst einmal, dass der Begriff der personenbezogenen Daten weit zu verstehen ist. Insoweit unterscheiden sich die Entscheidungen des LG und des OLG nicht. Das LG Köln nimmt, anders als das OLG Köln Stellung zum Recht auf Kopie nach Art. 15 Abs. 3 DSGVO und schränkt daraus folgend den Auskunftsanspruch im Gleichlauf zu diesem Recht ein.
Insoweit ist die Entscheidung des LG Köln zu begrüßen. Es erscheint richtig, den Anspruch nach Art. 15 DSGVO als Auskunftsanspruch und nicht als Ausforschungsanspruch zu verstehen. Soweit der Auskunftsanspruch keine internen Vorgänge und der betroffenen Person bereits vorliegenden Schriftverkehr betrifft, erscheint eine derartige Anwendung der Norm verhältnismäßig. Darüber hinaus entspricht diese Entscheidung zumindest in Hinblick auf Art 15 Abs. 3 DSGVO der Auffassung des EuGH in seinen Urteilen zu Art. 12 der EU-Datenschutzrichtlinie (EuGH v. 17.07.2014 in den Sachen C – 141/12 und 372/12, Rn. 60), die Art. 15 DSGVO vorausging sowie der Auffassung des Bayrischen Landesamtes für Datenschutz (8. Tätigkeitsbericht des Bayrischen Landesamtes für Datenschutz, Bl. 46/47).
Ein derart weiter und uneingeschränkter Begriff der personenbezogenen Daten, wie ihn das OLG Köln versteht, ist unseres Erachtens ausufernd und unter Berücksichtigung des entsprechenden Aufwandes für die einzelnen Unternehmen auch unverhältnismäßig.
Wie sich bereits anhand dieser beiden Entscheidungen erkennen lässt, sind aktuelle Urteile der Gerichte im Hinblick auf den Auskunftsanspruch mit Vorsicht zu genießen. Ob und inwieweit ein Auskunftsanspruch nach Art. 15 DSGVO einzuschränken ist, ist nach wie vor umstritten. Trotz der zu begrüßenden Entscheidung des LG Kölns ist zunächst von einem weiten, uneingeschränkten Auskunftsanspruch auszugehen.
Es bleibt somit nur, entweder, entsprechende Daten, wie interne Notizen zu den Kunden oder Mitarbeitern sofort wieder zu löschen, im Rahmen der Auskunftserteilung darzulegen oder aber das Gericht entscheiden zu lassen. In Köln dürfte das Urteil bereits klar sein.
Eine endgültige Entscheidung durch höchstrichterliche Rechtsprechung oder eine Klarstellung durch den Gesetzgeber bleibt abzuwarten.
Autor des Artikels: Fokko Oldewurtel mit Inge Seher
