Auskunftsanspruch DSGVO: OLG Köln stärkt Rechte | IT-Medienrecht

Erfahren Sie, wie das OLG Köln den Auskunftsanspruch nach DSGVO erweitert hat. Wichtige Infos für Ihr Datenschutzrecht und IT-Unternehmen.

Das Wichtigste in Kürze

  • Das OLG Köln hat den Auskunftsanspruch nach Art. 15 DSGVO sehr weit ausgelegt, auch für nicht-IT-Rechtsfälle.
  • Der Begriff der 'personenbezogenen Daten' umfasst auch subjektive Informationen wie Meinungen, Motive sowie Gesprächsnotizen und Telefonvermerke.
  • Unternehmen können sich nicht erfolgreich auf Geschäftsgeheimnisse oder die Unmöglichkeit der Datenbeschaffung berufen, um Auskünfte zu verweigern.
  • Unternehmen müssen ihre internen Prozesse so gestalten, dass sie umfassenden Auskunftsanfragen jederzeit nachkommen können.
  • Datenschutz spielt eine zentrale Rolle; keine Daten dürfen als 'belanglos' angesehen werden.

OLG Köln Urteil: Weitreichender Auskunftsanspruch nach DSGVO

Das Oberlandesgericht (OLG) Köln hat in einem Urteil vom 26. Juli 2019 den Auskunftsanspruch aus der Datenschutzgrundverordnung (DSGVO) sehr weit ausgelegt. Obwohl das Urteil primär keinen IT-Rechtsfall betrifft, ist es für das Datenschutzrecht von erheblicher Bedeutung. Gerade für IT-Unternehmen, die aufgrund ihrer Geschäftstätigkeit oft große Mengen an Nutzerdaten speichern, ergeben sich daraus wichtige Implikationen.

Unter Abweisung der Klage im Übrigen wird die Beklagte verurteilt, dem Kläger über die mit Schreiben vom 10.08.2018 bereits erfolgte Übersendung einer „Aufstellung Ihrer Personendaten aus der zentralen Datenverarbeitung“ sowie „Aufstellung Ihrer Personendaten aus dem Lebensversicherungsvertrag Nr…. hinaus Auskunft zu sämtlichen weiteren diesen betreffenden personenbezogenen Daten, insbesondere auch in Gesprächsnotizen und Telefonvermerken, zu erteilen, welche die Beklagte gespeichert, genutzt und verarbeitet hat.

Das Gericht befasste sich ausführlich mit den Voraussetzungen und der Reichweite des Auskunftsanspruchs. Dieser wurde vom Kläger unter anderem zur Substantiierung seiner eigentlichen Ansprüche geltend gemacht.

Die Reichweite des Auskunftsanspruchs gemäß Art. 15 DSGVO

Das Bestehen eines entsprechenden Auskunftsanspruchs bemisst sich nach Art. 15 der Datenschutzgrundverordnung. Dies gilt anders als noch in der ersten Instanz.

Nach Art. 15 DSGVO hat jede betroffene Person – nach Art. 4 Nr. 1 DSGVO also jede durch personenbezogene Daten identifizierbare oder identifizierte Person – das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie unter anderem ein Recht auf Auskunft über diese personenbezogenen Daten.

Was sind personenbezogene Daten?

Der Begriff der „personenbezogenen Daten“ nach Art. 4 DSGVO ist sehr weit gefasst. Er umfasst nach der Legaldefinition in Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen.

Unter die Vorschrift fallen demnach sowohl im Kontext verwendete persönliche Informationen als auch sachliche Informationen. Dazu gehören:

Auch Aussagen, die eine subjektive oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf.

Besondere Relevanz von Gesprächsnotizen und Telefonvermerken

Besonders relevant ist die folgende Passage des Urteils:

Soweit die Beklagte den Begriff der personenbezogenen Daten auf die bereits mitgeteilten Stammdaten begrenzt sehen möchte und meint, eine Verpflichtung zur Beauskunftung über insbesondere elektronisch gespeicherter Vermerke zu mit dem Kläger geführten Telefonaten und sonstigen Gespräche bestehe nicht, ist ein entsprechendes Verständnis mit dem der DSGVO zugrundeliegenden weit gefassten Datenbegriff nicht in Einklang zu bringen. Denn durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten gibt es keine belanglosen Daten mehr. Soweit in Gesprächsvermerken oder Telefonnotizen Aussagen des Klägers oder Aussagen über den Kläger festgehalten sind, handelt es sich hierbei ohne weiteres um personenbezogene Daten.

Keine Verletzung von Geschäftsgeheimnissen

Die Beklagte kann sich auch nicht erfolgreich darauf berufen, dass ein entsprechend weit gefasster Datenbegriff ihre Geschäftsgeheimnisse verletzen würde. Ungeachtet aller sonstigen sich stellenden Fragen gilt dies schon deshalb, weil Angaben, die der Kläger selbst gegenüber seiner Versicherung gemacht hat, diesem gegenüber nicht schutzbedürftig sind und somit auch nicht als Geschäftsgeheimnis der Beklagten gelten können.

Unmöglichkeitseinwand unbegründet

Zudem ist wichtig, dass das Gericht klarstellt: Ein zur Auskunft Verpflichteter kann sich nicht darauf berufen, dass es ihm unmöglich sei, auf bestimmte Daten zuzugreifen oder diese zu finden. Jedes Unternehmen muss intern die notwendigen Möglichkeiten schaffen, einem umfassenden Auskunftsanspruch nachzukommen.

Soweit die Beklagte meint, es sei für Großunternehmen, die wie sie einen umfangreichen Datenbestand verwalten würden, mit den ihr zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich, Dateien auf personenbezogene Daten zu durchsuchen und zu sichern, verfängt dies nicht. Es ist Sache der Beklagten, die sich der elektronischen Datenverarbeitung bedient, diese im Einklang mit der Rechtsordnung zu organisieren und insbesondere dafür Sorge zu tragen, dass dem Datenschutz und den sich hieraus ergebenden Rechten Dritter Rechnung getragen wird.

Umfassende Auskunftspflicht

Auch eine Einschränkung der Auskunftspflicht aufgrund von Rechten und Freiheiten anderer Personen wurde abgelehnt. Eine solche Einschränkung würde die Bestimmtheit eines Urteilstextes in Frage stellen.

Es besteht auch kein Anlass, die Verurteilung der Beklagten zur Auskunftserteilung im Tenor dahingehend einzuschränken, dass „die Herausgabe nur Daten/Informationen betrifft, die nicht die Rechte und Freiheiten anderer Personen gemäß Art. 15 Abs. 4 DSGVO und die grundrechtlich garantierten Interessen des Versicherers betrifft“. Unabhängig davon, dass die Aufnahme einer entsprechenden Einschränkung die Frage der hinreichenden Bestimmtheit eines solchen Tenors aufwerfen würde, bedarf es einer solchen nicht. Die ausgeurteilte Verpflichtung zur Auskunftserteilung bezieht sich ausschließlich auf die den Kläger betreffenden personenbezogenen Daten. Es ist auch insoweit selbstverständlich Sache der Beklagten, diese Verpflichtung im Einklang mit der Rechtsordnung und insbesondere den Regelungen der DSGVO zu erfüllen und den sich daraus ergebenden datenschutzrechtlichen Belangen Dritter zu erteilen. Eine Einschränkung ihrer Verpflichtung zur Auskunftserteilung ist damit nicht verbunden. Es ist auch nicht Aufgabe des Gerichts, im vorliegenden Rechtsstreit festzulegen, wie genau die Auskunftserteilung im Einzelfall zu geschehen hat. Dies wäre im Übrigen auch nicht möglich, insbesondere da die Beklagte im Rechtsstreit trotz Nachfrage jeglichen Vortrag dazu, was genau bei ihr über die vorgehaltenen Stammdaten des Klägers hinaus gespeichert und verarbeitet hat, vermissen lassen hat.

Fazit

Das Urteil des OLG Köln unterstreicht die weitreichende Bedeutung des Auskunftsanspruchs nach der DSGVO. Unternehmen müssen ihre internen Prozesse so gestalten, dass sie umfassenden Auskunftsanfragen jederzeit nachkommen können. Die Entscheidung betont, dass der Datenschutz eine zentrale Rolle in der modernen Datenverarbeitung spielt und keine Daten als "belanglos" angesehen werden dürfen.

Häufig gestellte Fragen

Was ist die Kernaussage des Urteils des OLG Köln vom 26. Juli 2019?
Das OLG Köln hat den Auskunftsanspruch nach Art. 15 DSGVO sehr weit ausgelegt und bestätigt, dass dieser auch Gesprächsnotizen und Telefonvermerke umfasst. Unternehmen müssen ihre Prozesse so anpassen, dass sie umfassenden Auskunftsanfragen jederzeit nachkommen können.
Was sind laut Art. 4 Nr. 1 DSGVO personenbezogene Daten?
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Dazu gehören Identifikationsmerkmale, äußere Merkmale, innere Zustände wie Meinungen und Wünsche, sowie sachliche Informationen wie Vermögensverhältnisse und Kommunikationsbeziehungen.
Warum sind Gesprächsnotizen und Telefonvermerke besonders relevant für den Auskunftsanspruch?
Das OLG Köln stellte klar, dass der weit gefasste Datenbegriff der DSGVO auch elektronisch gespeicherte Vermerke zu Telefonaten und Gesprächen umfasst. Aussagen des oder über den Kläger in solchen Notizen sind personenbezogene Daten, da es durch die Informationstechnologie keine belanglosen Daten mehr gibt.
Können sich Unternehmen auf Geschäftsgeheimnisse berufen, um eine Auskunft zu verweigern?
Nein, das Gericht lehnte dies ab. Angaben, die der Kläger selbst gegenüber seiner Versicherung gemacht hat, sind diesem gegenüber nicht schutzbedürftig und können somit nicht als Geschäftsgeheimnis des Unternehmens gelten.
Dürfen Unternehmen die Auskunft verweigern, wenn sie die Daten nicht finden können?
Nein, ein Unternehmen kann sich nicht auf Unmöglichkeit berufen. Jedes Unternehmen muss intern die notwendigen Möglichkeiten schaffen, einem umfassenden Auskunftsanspruch nachzukommen und seine elektronische Datenverarbeitung im Einklang mit der Rechtsordnung organisieren.