Der Bundesgerichtshof (BGH) konkretisiert, wann Betroffene gem. Art. 15 Abs. 3 DSGVO das Recht haben, sämtliche beim Verantwortlichen gespeicherten personenbezogenen Daten in vollständiger Kopie zu erhalten und unter welchen Voraussetzungen dieser Anspruch eingeschränkt werden kann (Urteil vom 5. März 2024, Az.: VI ZR 330/21).
Sachverhalt
Im gegenständlichen Fall stand die Klägerin in einer langjährigen Geschäftsbeziehung zur Beklagten, die als Finanzberaterin tätig war. Die Klägerin hatte die Beklagte mit der Betreuung in Kapitalanlagen und Versicherungen beauftragt. Während dieser Zusammenarbeit wurden zahlreiche Dokumente, darunter E-Mails, Briefe, Telefonnotizen, Aktenvermerke und Gesprächsprotokolle angefertigt und abgespeichert.
Die Klägerin machte von ihrem Recht auf Auskunft nach Art. 15 Abs. 3 DSGVO Gebrauch und verlangte die Herausgabe einer Kopie aller bei der Beklagten gespeicherten personenbezogenen Daten. Die Beklagte erteilte zwar eine entsprechende Auskunft, die Herausgabe von Kopien im konkreten Umfang blieb jedoch aus. Das hatte zur Folge, dass die Betroffene Klage einreichte und die Herausgabe der entsprechenden Kopien forderte. Der anschließende Rechtsstreit gelangte durch Revision gegen das Urteil des OLG München bis zum BGH.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Das Urteil
Der BGH macht in seinem Urteil deutlich, dass das Auskunftsrecht nach Art. 15 DSGVO keine zwei unterschiedliche Ansprüche umfasst. Vielmehr folgt der BHG der Rechtsprechung des Europäischen Gerichtshofs (EuGH) (siehe unsere ausführliche Urteilsbesprechung) und vertritt einen Ansatz, bei dem das Recht auf Auskunft als ein einheitlicher Anspruch gesehen wird. Demnach regelt Art. 15 Abs. 3 DSGVO lediglich die Modalitäten zur praktischen Umsetzung dieses Anspruchs (also die Bereitstellung der Daten in Kopie).
Entscheidend für die Bejahung des Rechts auf Kopie der Daten ist allerdings, dass der betreffende Inhalt eindeutig identifizierbar ist und dieser als personenbezogene Daten gewertet werden kann. Damit sind nicht automatisch sämtliche Dokumente, die im Besitz des Verantwortlichen sind, als „Kopie“ im Sinne des Art. 15 Abs. 3 DSGVO zu überlassen. Vielmehr muss geprüft werden, ob die betreffenden Unterlagen tatsächlich personenbezogene Daten enthalten.
Im konkreten Fall stellte der BGH fest, dass nur die von der Klägerin selbst verfassten Briefe und E-Mails als maßgeblicher Bestandteil der personenbezogenen Daten zu qualifizieren sind. Andere Unterlagen – wie Schreiben der Verantwortlichen, Telefonnotizen, interne Aktenvermerke oder Gesprächsprotokolle – können zwar personenbezogene Informationen enthalten, sind jedoch häufig durch zusätzliche interne oder betriebliche Inhalte ergänzt. Eine vollständige Kopie solcher Dokumente würde daher auch Informationen enthalten, die über den konkreten Anspruch der Klägerin hinausgehen.
Der BGH betont, dass der Anspruch aus Art. 15 Abs. 3 DSGVO darauf ausgelegt ist, dass Betroffene sich von der Rechtmäßigkeit der Datenverarbeitung überzeugen. Dabei wird allerdings nicht automatisch der gesamte Kontext der Dokumentation umfasst – es sei denn, diese besteht ausschließlich aus personenbezogene Daten oder die betroffene Person kann überzeugende Gründe darlegen kann, warum eine vollständige Kopie benötigt wird.
Datenschutzrechtliche Einschätzung
Briefe und E-Mails, die ein Betroffener an einen Verantwortlichen verschickt, gelten also als personenbezogene Daten und müssen folglich gemäß Art. 15 Abs. 3 DSGVO in ihrer Gesamtheit als Kopie zur Verfügung gestellt werden. Der Anspruch umfasst dabei keine Zusammenfassung von Datenkategorien, sondern eine verkörperte Reproduktion der Daten.
Andersherum besteht jedoch nicht die Pflicht, E-Mails, Briefe und sonstige Schreiben, die an den Betroffenen gerichtet sind, sowie Telefonnotizen, Aktenvermerke oder Gesprächsprotokolle, die nicht vom Betroffenen selbst verfasst wurden, vollständig zu übermitteln. Zwar können solche Dokumente ebenfalls personenbezogene Daten enthalten, die dem Original entsprechend wiedergegeben werden müssen, da andernfalls die Verständlichkeit der Daten im Kontext der Verarbeitung nicht gewährleistet werden kann. Allerdings betont der BGH, dass die vollständige Herausgabe ganzer Dokumente lediglich als Ausnahme anzusehen ist und der Betroffene die Beweislast dafür tragen muss, dass eine „Kontextualisierung“ erforderlich ist.
Damit wird der Umfang des Auskunftsanspruch aus Art. 15 DSGVO weiter konkretisiert. Der BGH schränkt vorliegend den Anspruch auf Kopie aus Absatz 3 auf jene Dokumente ein, in denen der Betroffene als Urheber bzw. als maßgebliche Quelle personenbezogener Daten erkennbar ist. Diese differenzierte Betrachtungsweise verhindert, dass Unternehmen durch die Herausgabe aller gespeicherten Unterlagen unverhältnismäßig belastet werden und gewährleistet gleichzeitig die praktische Umsetzbarkeit des Auskunftsrechts aus Art. 15 DSGVO.
Handlungsempfehlungen für Verantwortliche
Unternehmen sind dazu angehalten, ihre internen Ablagestrukturen so zu organisieren, dass personenbezogene Daten klar von internen Notizen und betriebsrelevanten Informationen getrennt abgelegt werden. Eine strukturierte Dokumentenverwaltung bzw. ein entsprechendes Tagging von Dokumenten ermöglicht es, im Fall von Auskunftsersuchen präzise zu ermitteln, welche Dokumente ausschließlich personenbezogene Daten enthalten und daher überlassen werden müssen.
Gleichzeitig kann ein Verantwortlicher sich die Entscheidung des BGH zu Nutze machen. Schließlich obliegt es nun dem Anspruchssteller, überzeugende Gründe vorzubringen, mit denen er darstellen kann, warum die Kopie einer gesamten Dokumentation notwendig ist, um auch die im Kontext verarbeiteten personenbezogenen Daten als Kopie herausverlangt zu bekommen.
Für betroffene Personen empfiehlt es sich, Auskunftsersuchen möglichst konkret zu formulieren, um den Verantwortlichen die Identifikation und Herausgabe der relevanten Dokumente zu erleichtern und somit eine zielführende und datenschutzkonforme Reaktion zu ermöglichen. Sinnig ist es bereits bei Geltendmachung des Auskunftsanspruchs das prozessual einklagbare Recht nach Maßgabe einer vertretbaren Handlung mitzudenken.
Fazit
Das Urteil verdeutlicht, dass der Anspruch von Betroffenen aus Art. 15 Abs. 3 DSGVO nicht pauschal auf die Herausgabe aller gespeicherten Dokumente abzielt, sondern sich auf jene Unterlagen beschränkt, die im Wesentlichen personenbezogene Daten enthalten. Verantwortliche können den Anspruch auf Kopie möglicherweise begrenzen, wenn es um bloße Verlaufsdaten geht, in welchen der Betroffene zwar als Person, z.B. in Metadaten auftaucht, der Inhalt sich aber nicht auf seine Person bezieht.
Insgesamt bleibt das Urteil in weiten Teilen aber unkonkret. Für Verantwortliche hat das zur Folge, dass jeder Auskunftsanspruch als vollumfängliches Recht nach Art. 15 DSGVO ausgelegt werden muss, bei dem die Bereitstellung einer vollständigen Kopie aller relevanten personenbezogenen Daten geschuldet ist. Verantwortliche wird dies nur in Teilen zufriedenstellen können, um operative Fragen rund um das Recht auf Auskunft beantworten zu können. Eine erste Eingrenzung ist aber erfolgt.
