Das OLG Köln zum Auskunftsrecht nach Art. 15 DSGVO

17. November 2019

In der datenschutzrechtlichen Praxis spielt das Auskunftsrecht nach Art. 15 DSGVO eine große Rolle. Allerdings gibt es dabei oft Unklarheiten hinsichtlich der Voraussetzungen und der Rechtsfolgen des Art. 15 DSGVO. In diesem Kontext ist ein Urteil des OLG Köln von Interesse. Das Oberlandesgericht sieht in Art. 15 Abs. 1 DSGVO einen umfangreichen Auskunftsanspruch und kommt damit zu einem anderen Ergebnis als das LG Köln.

Die Norm

Wenn man sich mit Art. 15 DSGVO beschäftigt, dann sollte man sich zunächst die Struktur dieser Norm vor Augen führen.

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Falls das der Fall ist, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf eine ganze Reihe von Informationen, die in Art. 15 Abs. 1 DSGVO aufgezählt werden. Wenn personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, so hat die betroffene Person gemäß Art. 15 Abs. 2 DSGVO das Recht, über die geeigneten Garantien gemäß Art. 46 DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden. Nach Art. 15 Abs. 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Allerdings heißt es in Art. 15 Abs. 4 DSGVO einschränkend, dass das Recht auf Erhalt einer Kopie gemäß Art. 15 Abs. 3 DSGVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf.

Das Urteil

In dem vom OLG Köln (Urteil vom 26.07.2019, Az. 20 U 75/18) entschiedenen Fall geht es um einen Versicherungsnehmer als Kläger, der mehrere Ansprüche gegen ein Versicherungsunternehmen als Beklagte geltend macht, darunter einen Anspruch auf eine „vollständige Datenauskunft im Sinne von Art. 15 DS-GVO zu den ihn betreffenden personenbezogenen Daten“. Aus Sicht des Klägers war eine im Laufe des Rechtsstreits erteilte Aufstellung seiner Personendaten aus der zentralen Datenverarbeitung sowie eine Aufstellung seiner Personendaten aus dem Lebensversicherungsvertrag nicht ausreichend. Während der Kläger mit seinen übrigen Ansprüchen nicht erfolgreich ist, wird die Beklagte vom Oberlandesgericht verurteilt, dem Kläger über die beiden Aufstellungen hinaus Auskunft zu sämtlichen weiteren diesen betreffenden personenbezogenen Daten, insbesondere auch in Gesprächsnotizen und Telefonvermerken, zu erteilen.

Die Begründung

Diese Entscheidung ist folgerichtig, wenn man die Ausführungen des Gerichtes zu dem Begriff der personenbezogenen Daten liest:

„Der Begriff der „personenbezogenen Daten“ nach Art. 4 DS-GVO ist weit gefasst und umfasst nach der Legaldefinition in Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Unter die Vorschrift fallen damit sowohl im Kontext verwendete persönliche Informationen wie Identifikationsmerkmale (z.B. Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (z.B. Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt […]. Auch solche Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf […].“

Das Gericht widerspricht der Ansicht der Beklagten deutlich, den Begriff der personenbezogenen Daten auf die Stammdaten zu begrenzen:

„Soweit die Beklagte den Begriff der personenbezogenen Daten auf die bereits mitgeteilten Stammdaten begrenzt sehen möchte und meint, eine Verpflichtung zur Beauskunftung über insbesondere elektronisch gespeicherter Vermerke zu mit dem Kläger geführten Telefonaten und sonstigen Gespräche bestehe nicht, ist ein entsprechendes Verständnis mit dem der DS-GVO zugrundeliegenden weit gefassten Datenbegriff nicht in Einklang zu bringen. Denn durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten gibt es keine belanglosen Daten mehr (so bereits BVerfG, Urteil vom 15.12.1983, Az. 1 BvR 209/83 – zitiert nach juris). Soweit in Gesprächsvermerken oder Telefonnotizen Aussagen des Klägers oder Aussagen über den Kläger festgehalten sind, handelt es sich hierbei ohne weiteres um personenbezogene Daten.“

Die Beklagte scheint mit Art. 15 Abs. 4 DSGVO und dem Erwägungsgrund 63 S. 5 argumentiert zu haben. Das überzeugt das Gericht nicht:

„Die Beklagte kann sich demgegenüber auch nicht mit Erfolg darauf berufen, dass ein entsprechend weit gefasster Datenbegriff ihre Geschäftsgeheimnisse verletzen würde. Ungeachtet aller sonstigen sich stellenden Fragen gilt dies schon deshalb, weil Angaben, die der Kläger selbst gegenüber seiner Versicherung gemacht hat, diesem gegenüber nicht schutzbedürftig und damit auch nicht ihr Geschäftsgeheimnis sein können.“

Das Gericht lässt auch keine praktischen Einwände der Beklagten gelten und weist auf ihre Pflicht hin, sich an Gesetze zu halten:

„Soweit die Beklagte meint, es sei für Großunternehmen, die wie sie einen umfangreichen Datenbestand verwalten würden, mit den ihr zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich, Dateien auf personenbezogene Daten zu durchsuchen und zu sichern, verfängt dies nicht. Es ist Sache der Beklagten, die sich der elektronischen Datenverarbeitung bedient, diese im Einklang mit der Rechtsordnung zu organisieren und insbesondere dafür Sorge zu tragen, dass dem Datenschutz und den sich hieraus ergebenden Rechten Dritter Rechnung getragen wird.“

Das OLG Köln sieht keinen Grund, die Auskunftserteilung einzuschränken:

„Es besteht auch kein Anlass, die Verurteilung der Beklagten zur Auskunftserteilung im Tenor dahingehend einzuschränken, dass “die Herausgabe nur Daten/Informationen betrifft, die nicht die Rechte und Freiheiten anderer Personen gemäß Art. 15 Abs. 4 DS-GVO und die grundrechtlich garantierten Interessen des Versicherers betrifft“. Unabhängig davon, dass die Aufnahme einer entsprechenden Einschränkung die Frage der hinreichenden Bestimmtheit eines solchen Tenors aufwerfen würde, bedarf es einer solchen nicht. Die ausgeurteilte Verpflichtung zur Auskunftserteilung bezieht sich ausschließlich auf die den Kläger betreffenden personenbezogenen Daten. Es ist auch insoweit selbstverständlich Sache der Beklagten, diese Verpflichtung im Einklang mit der Rechtsordnung und insbesondere den Regelungen der DS-GVO zu erfüllen und den sich daraus ergebenden datenschutzrechtlichen Belangen Dritter zu erteilen. Eine Einschränkung ihrer Verpflichtung zur Auskunftserteilung ist damit nicht verbunden.“

Anscheinend waren die Parteien der Ansicht, dass der Kläger nicht nur einen Anspruch nach Art. 15 Abs. 1 DSGVO, sondern auch nach Art. 15 Abs. 3 DSGVO geltend gemacht hätte. Das Gericht sieht das anders:

„Ob – womit sich die Beklagte im Rahmen ihres nach Ablauf der Schriftsatzfrist bis zum 09.07.2019 eingegangenen Schriftsatzes vom 16.07.2019 ausführlich auseinandersetzt – ein Anspruch auf Herausgabe von Unterlagen oder Kopien nach Art. 15 Abs. 3 DS-GVO besteht und inwieweit ein solcher nach Art. 15 DS-GVO Einschränkungen erfahren würde, bedarf vorliegend keiner Entscheidung, da ein solcher Anspruch vom Kläger nicht geltend gemacht wird.“

Die Stellungnahme

Die Argumentation des OLG Köln lässt sich einfach zusammenfassen: Es muss zu sämtlichen personenbezogenen Daten Auskunft nach Art. 15 Abs. 1 DSGVO erteilt werden. Dabei ist es gleichgültig, wo die personenbezogenen Daten gespeichert werden. Dementsprechend umfasst die Auskunft auch Gesprächsnotizen und Telefonvermerke, wenn dort personenbezogene Daten gespeichert werden. Dieses Urteil ist nicht überraschend, wenn man sich die Legaldefinition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO und den Wortlaut des Art. 15 Abs. 1 DSGVO durchliest.

Allerdings kam das LG Köln in zwei anderen Entscheidungen (Teilurteil vom 18.03.2019, Az. 26 O 25/18 und Urteil vom 19.06.2019, Az. 26 S 13/18) zu einem gegenteiligen Ergebnis. In den beiden Entscheidungen heißt es, dass sich der Auskunftsanspruch nicht auf sämtliche internen Vorgänge, wie z. B. Vermerke, beziehen würde. Nach dem Urteil des OLG Köln kann man an dieser Ansicht nicht mehr festhalten. Es muss stattdessen vollständig Auskunft erteilt werden.

Aus dem Urteil des OLG Köln wird auch deutlich, dass der Verantwortliche für die Vollständigkeit der Auskunft entsprechend Sorge tragen muss. Deshalb ist es nicht nur für große Organisationen notwendig, genau zu wissen, wo personenbezogene Daten gespeichert werden. Es ist daher dringend angeraten, nicht nur für die Erfüllung des Auskunftsrechts, sondern auch für die Gewährleistung der übrigen Betroffenenrechte die erforderlichen organisatorischen Vorkehrungen zu treffen.

Das OLG Köln legt den Antrag des Klägers, „ihm eine vollständige Datenauskunft im Sinne von Art. 15 DS-GVO zu den ihn betreffenden personenbezogenen Daten zu erteilen“, dahingehend aus, dass er nur einen Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO geltend gemacht hätte und nicht auch einen Anspruch auf Erhalt einer Kopie nach Art. 15 Abs. 3 DSGVO. Die Parteien waren anscheinend der gegenteiligen Ansicht. Das genaue Verhältnis von Art. 15 Abs. 1 und 3 DSGVO ist umstritten. Das gilt auch für die Frage, was unter einer Kopie i. S. v. Art. 15 Abs. 3 DSGVO genau zu verstehen ist. Für die Praxis empfiehlt es sich für den Betroffenen, gegenüber dem Verantwortlichen nicht nur eine Auskunft, sondern auch explizit eine Kopie der personenbezogenen Daten zu verlangen und, falls es zu einem Rechtsstreit kommt, auch explizit bei Gericht zu beantragen.

Wenn das OLG Köln der Meinung ist, dass ein Anspruch auf Erhalt einer Kopie nach Art. 15 Abs. 3 DSGVO nicht geltend gemacht worden ist, dann stellt sich die Frage, warum es überhaupt noch auf Art. 15 Abs. 4 DSGVO eingeht. Denn Art. 15 Abs. 4 DSGVO bezieht sich nach seinem Wortlaut nur auf Art. 15 Abs. 3 DSGVO und nicht auch auf Art. 15 Abs. 1 DSGVO. Es wird allerdings in der Fachliteratur die Ansicht vertreten, dass die Einschränkung des Art. 15 Abs. 4 DSGVO nicht nur auf Art. 15 Abs. 3 DSGVO, sondern auch auf Art. 15 Abs. 1 DSGVO anzuwenden ist. Das Gericht äußert sich dazu aber nicht.

Das Fazit

Das OLG Köln kommt mit einer guten Begründung zu dem Urteil, dass eine Auskunft nach Art. 15 Abs. 1 DSGVO zu sämtlichen personenbezogenen Daten zu erteilen ist. Allerdings bleiben noch weitere Fragen zu Art. 15 DSGVO offen. Gegen eines der beiden oben genannten Urteile des LG Köln (Urteil vom 19.06.2019, Az. 26 S 13/18) ist Revision beim Bundesgerichtshof (Az. IV ZR 179/19) eingelegt worden. Die Auslegung des Art. 15 DSGVO wird damit höchstrichterlich geklärt.