Wie weit reicht der Auskunftsanspruch nach Art. 15 Datenschutz-Grundverordnung (DS-GVO)? Das Oberlandesgericht (OLG) Köln meint: sehr weit.
Die DS-GVO hat auch den Auskunftsanspruch Betroffener gestärkt. Art. 15 bildet zusammen mit Art. 13 und Art. 14 einen ganz wesentlichen Bestandteil („Magna Charta“) der Betroffenenrechte. Denn erst durch die Auskunft wird der Betroffene in die Lage versetzt, von einer Verarbeitung der ihn betreffenden Daten Kenntnis zu erhalten und die Verarbeitung dann auf ihre Rechtmäßigkeit hin zu überprüfen.
Gem. Art. 15 Abs. 1 kann die betroffene Person eine Bestätigung darüber verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Sofern das der Fall ist, hat der Betroffene einen Anspruch auf Auskunft über die personenbezogenen Daten sowie weitere in Art. 15 Abs. 1 aufgezählte Informationen. Ein Recht auf Unterrichtung bei Übermittlungen an ein Drittland oder an eine internationale Organisation sieht Art. 15 Abs. 2 vor. Schließlich regelt Abs. 3, dass der Betroffene eine Kopie seine Daten verlangen kann.
Auf welche Daten und Informationen sich der Auskunftsanspruch bezieht, umschreibt der Katalog in Art. 15 Abs. 1 nur allgemein – etwa wenn dort unter lit. b die Rede ist von „Kategorien personenbezogener Daten, die verarbeitet werden“. Die Rechtsprechung zu Art. 15 seit Inkrafttreten der DS-GVO am 25. Mai 2018 ist noch überschaubar. Nun hat das OLG Köln geurteilt, dass der Auskunftsanspruch sehr weit reicht (vgl. Urteil v. 26.07.2019 – 20 U 75/18).
Der Kläger hatte bei der Beklagten eine Lebensversicherung und Berufsunfähigkeits-Zusatzversicherung abgeschlossen. Neben einem Zahlungsanspruch machte er vor Gericht gegen die Versicherung eine vollständige Datenauskunft nach Art. 15 DS-GVO geltend.
Dem OLG Köln zufolge umfasst diese Auskunft persönliche Informationen wie Name, Anschrift und Geburtsdatum sowie äußere Merkmale und innere Zustände. Auch sachliche Informationen, wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt gehören nach Auffassung der Kölner Richter zu den personenbezogenen Daten i.S.d. Art. 4 Nr. 1 DS-GVO. Damit nicht genug: Aussagen, die eine subjektive oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen dem Gericht zufolge ebenso einen Personenbezug auf. Eine Begrenzung des Begriffs auf Stammdaten sei mit dem weit gefassten Datenbegriff der DS-GVO nicht in Einklang zu bringen, so die Richter.
Auf schutzwürdige Geheimhaltungsinteressen konnte sich der Versicherer nicht berufen, denn nach Auffassung des OLG sind Angaben, die der Kläger selbst gegenüber der Beklagten gemacht hatte, nicht schutzbedürftig; sie könnten deshalb auch kein Geschäftsgeheimnis darstellen.
Schließlich half dem Versicherer auch die Berufung auf wirtschaftliche Unmöglichkeit nicht weiter. Es sei Sache der beklagten Versicherung, die elektronische Datenverarbeitung im Einklang mit der Rechtsordnung zu organisieren, so das Gericht.
Praxistipp
Für Verstöße gegen die Auskunftspflicht sind die Aufsichtsbehörde gem. Art. 57, 58 zuständig. Sie können gegenüber dem Verantwortlichen Untersagungen und Anweisungen ausüben. Darüber hinaus können Verstöße gegen Art. 15 gem. Art. 83 Abs. 5 lit. b mit erheblichen Geldbußen von bis zu 20 Mio. EUR oder bis zu 4 % des gesamten weltweiten erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden. Auch deshalb sollten Auskunftsverlangen keinesfalls auf die „leichte Schulter genommen“ werden.