Der Auskunftsanspruch nach Art. 15 DSGVO und seine Grenzen im Online-Handel

[Tomcraft]

Die Datenschutz-Grundverordnung (DSGVO) gibt jeder natürlichen Person ein Recht darauf, zu erfahren, wer welche personenbezogenen Daten über sie gespeichert hat. Kurze Bearbeitungsfristen und Unsicherheiten ob der Reichweite der Auskunftspflicht bereiten Online-Händlern in der Praxis hierbei nicht selten Kopfzerbrechen. Im nachfolgenden Beitrag bereitet die IT-Recht Kanzlei die Anspruchsvoraussetzungen und die Reaktionspflichten für Händler auf und zeigt unter Bezugnahme auf die Rechtsprechung, wann das Auskunftsrecht an seine rechtlichen Grenzen stößt.

I. Übersicht zum Auskunftsanspruch
Wer kann einen Auskunftsanspruch geltend machen? Bedarf dies einer bestimmten Form? In welcher Form muss Auskunft erteilt werden und besteht hierfür eine Frist? Über welche Daten muss Auskunft gegeben werden?

Da der Auskunftsanspruch in der Praxis bei den Betroffenen immer wieder Fragen aufwirft, stellt Ihnen die IT-Recht Kanzlei nachfolgend eine kompakte Übersicht über Art und Umfang des Auskunftsanspruches aus Art. 15 DSGVO zur Verfügung.

1. Wer kann den Auskunftsanspruch geltend machen?
Das Auskunftsrecht steht jedem „Betroffenen“ oder von ihm zu diesem Zwecke Bevollmächtigten zu, d.h. jeder bestimmten oder bestimmbaren natürlichen Person. Dies gilt unabhängig vom Wohnsitz der Person und unabhängig von der Nationalität.

2. Wie kann der Auskunftsanspruch geltend gemacht werden?
Das Auskunftsrecht wird auf Antrag gewährt. Ein bestimmtes Form- oder Begründungserfordernis besteht nicht.

3. Form und Frist der Auskunftserteilung
Nach Art. 12 DSGVO trifft den Händler als Verantwortlichen die Pflicht, die Informationen in präziser, transparenter, verständlicher, leicht zugänglicher Form und in einer klaren und einfachen Sprache zu übermitteln.

Die Informationen können schriftlich oder in elektronischer Form erteilt werden. Denkbar ist auch, einen Fernzugang zu einem sicheren System einzurichten, das der betroffenen Person Zugang zu ihren personenbezogenen Daten gewährt. Sofern die Identität der auskunftsersuchenden Person zweifelsfrei nachgewiesen wurde, kann die Information auch mündlich erteilt werden, falls dies verlangt wird.

Wichtig: Stellt der Betroffene den Antrag auf Auskunft auf elektronischem Wege, ist auch die Auskunft in einem gängigen elektronischen Format zu erteilen!

Die Informationen sind dem Antragssteller unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen, Art. 12 Absatz 3 DSGVO. In komplexen Fällen kann diese Frist um zwei weitere Monate verlängert werden. Dies ist dem Betroffenen jedoch innerhalb eines Monats nach Antragseingang unter Angaben von Gründen mitzuteilen.

4. Wer trägt die Kosten, die durch das Auskunftsverlangen entstehen?
Der Händler ist gemäß Art. 12 Abs. 5 DSGVO grundsätzlich verpflichtet, Betroffenen sämtliche Informationen, Mitteilungen und Maßnahmen unentgeltlich zur Verfügung zu stellen. Sowohl Datenschutzhinweise und Statusbenachrichtigungen als auch Mitteilungen bei der Befolgung von Betroffenenrechten dürfen den Betroffenen also prinzipiell nicht berechnet werden.

Eine Ausnahme trifft Art. 15 Abs. 3 Satz 2 DSGVO im Zusammenhang mit dem Auskunftsrecht für den Fall, dass neben der ersten Kopie mit Informationen über die Art und dem Umfang der Verwendung personenbezogener Daten weitere Kopien verlangt werden. Hier kann der Händler ein angemessenes Entgelt in Rechnung stellen.

Eine weitere Ausnahme sieht Art. 12 Abs. 5 Satz 2 lit. a DSGVO im Falle des Vorliegens exzessiver oder unbegründeter Anträge vor. Anstatt die Erfüllung zu verweigern, kann der Auskunftspflichtige für sein Tätigwerden wahlweise ein angemessenes Entgelt verlangen. Entscheidet er sich anstatt des Untätigbleibens für die Entgeltlichkeit, kann er sein Tätigwerden von der vorherigen Begleichung des verlangten Entgeltes abhängig machen.

Dieser Entgeltanspruch ist auf die direkt zurechenbaren Kosten beschränkt und umfasst somit allein Verwaltungskosten für die Unterrichtung, Mitteilung und/oder Durchführung der beantragten Maßnahme sowie Material- und Portokosten bzw. Personal- oder Maschinenkosten für den konkreten Antragslauf (Gola, DSGVO, Art. 12, Rn. 39).

Allgemeine Personal- und Betriebskosten sind demgegenüber nicht ersatzfähig.

5. Inhalt der Auskunft
Das Auskunftsrecht gliedert sich in zwei Stufen.

Zunächst hat der Betroffene Anspruch darauf, zu erfahren, ob überhaupt personenbezogene Daten von ihm erhoben und gespeichert wurden.

In einem zweiten Schritt hat er, wenn dies der Fall ist, einen Anspruch auf Auskunft über diese Daten bzw., wenn keine Daten von ihm verarbeitet werden, einen Anspruch auf Information darüber (sog. Negativauskunft).

Gemäß Art. 15 DSGVO hat der Anspruchsgegner folgende Informationen bereit zu stellen, wenn er personenbezogene Daten des Antragstellers verarbeitet:

• Zwecke der Verarbeitung
• Kategorien personenbezogener Daten, die verarbeitet werden
• Empfänger oder Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig erhalten werden
• geplante Speicherdauer falls möglich, andernfalls die Kriterien für die Festlegung der Speicherdauer
• Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung der Verarbeitung oder eines Widerspruchsrecht gegen diese Verarbeitung
• Bestehen eines Beschwerderechts bei der Aufsichtsbehörde
• die Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst erhoben wurden
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren

6. Ausnahmen zum Auskunftsanspruch
Nicht jeder Antrag der betroffenen Person verpflichtet den Auskunftspflichtigen zum Tätigwerden.

Insofern werden in Art. 12 Abs. 2 Satz 2 und Abs. 5 DSGVO und in Art. 15 Abs. 4 DSGVO Gründe festgelegt, die ein Untätigbleiben rechtfertigen und mithin ein Auskunftsverweigerungsrecht etablieren.

Liegen die Voraussetzungen nach den genannten Vorschriften vor, ist der Händler weder zur Statusbenachrichtigung noch zur Beschäftigung mit dem jeweiligen Betroffenenantrag verpflichtet. Folgend haben wir die wichtigsten Gründe hierzu aufgelistet:

a) Der Betroffene ist nicht identifizierbar, Art. 12 Abs. 6 DSVGO
Dem Händler ist es gestattet, das Tätigwerden aufgrund eines Betroffenenantrags zu verweigern, wenn es ihm nicht möglich ist, die betroffene Person zu identifizieren. Der Betroffene ist daher verpflichtet, ausreichende Angaben zur Verfügung zu stellen, die es dem Händler ermöglichen, ihn zweifelsfrei zu identifizieren und zuzuordnen zu können.

b) Exzessive Anträge oder unbegründete Anträge, Art. 12 Abs. 5 DSVGO
Das Recht zum Untätigbleiben steht dem Händler ferner zu, wenn ein Betroffener ein exzessives Antragsverhalten an den Tag legt oder offenkundig unbegründete Anträge stellt.

Exzessiv ist ein Antrag gemäß Art. 12 Abs. 5 Satz 2 DSGVO dann, wenn er zu häufig wiederholt wird. Begründet wird die Exzessivität nur dann, wenn derselbe Antrag zu oft gestellt wird. Die Ausübung verschiedener Betroffenenrechte mittels diverser, unterschiedlicher Anträge begründet ein Leistungsverweigerungsrecht des Händlersdahingegen nicht. Als Richtlinie für die Beurteilung der zu häufigen Wiederholung wird in der Literatur empfohlen, mehr als eine Anfrage pro Quartal als exzessiv zu beurteilen (Gola, DS-GVO, Art. 12, Rn. 34).

Offensichtlich unbegründet ist ein Antrag, wenn die Tatbestandsvoraussetzungen für die Ausübung eines Betroffenenrechts auf den ersten Blick erkennbar nicht vorliegen.

Nach Art. 12 Abs. 4 DSGVO ist der Händler dann aber gehalten, spätestens innerhalb eines Monats nach Eingang des Antrags über die Gründe des Untätigbleibens sowie über die Beschwerdemöglichkeit bei einer Aufsichtsbehörde zu informieren.

c) Beeinträchtigung von Rechten und Freiheiten anderer Personen, Art. 15 Abs. 4 DSGVO
Gemäß Art. 15 Abs. 4 DSGVO kann von einer Auskunftserteilung ausnahmsweise auch dann abgesehen werden, wenn dies die Rechte und Freiheiten anderer Personen beeinträchtigen würde. Diese umfassen beispielsweise etwa Geschäftsgeheimnisse, Rechte des geistigen Eigentums oder den Datenschutz.

II. Grenzen des Auskunftsanspruchs
Gemäß Art. 15 DSGVO kann ein Betroffener Auskunft über die in Bezug auf seine Person verarbeiteten Daten verlangen. Dieses Recht wird vom Umfang her also auf die Übermittlung von Informationen beschränkt, die konkrete, zur Identifizierung der Person geeignete Umstände betreffen.

Dass über das Auskunftsrecht insofern gerade kein allgemeiner Offenlegungsanspruch für jedwede Inhalte besteht, welche zwischen Betroffenem und Händler ausgetauscht wurden, ist in einem Urteil des LG Köln vom 18.03.2019 (Az. 26 O 25/18) jüngst auch durch die Rechtsprechung bestätigt worden.

1. Der Fall
Der Kläger begehrte von der Beklagten, bei der er zwei Lebensversicherungsverträge unterhielt, die Auskunft über die dort zu ihm gespeicherten Daten. Die von der Beklagten zuvor erteilten Auskünfte bezüglich seiner personenbezogenen Daten erschienen dem Kläger als unzureichend, weil er mit seinem Datenauskunftsgesuch auch die Übermittlung interner Vermerke und von Kopien jeglichen jemals gewechselten Schriftverkehrs begehrte. Als die Beklagte ihm dies verweigerte, legte er Klage beim Landgericht Köln ein.

2. Die Entscheidung
Das Landgericht wies die Klage ab und führte Folgendes zu Art und Umfang des Auskunftsanspruches aus:

„Gemäß Art. 15 Abs. 1 DS-GVO steht der betroffenen Person ein umfassender Anspruch auf Auskunft über verarbeitete sie betreffende personenbezogene Daten sowie weitere Informationen zu. Die Information muss u.a. auch die Verarbeitungszwecke (...), die Empfänger von Daten (...) und die geplante Dauer der Speicherung (...) enthalten. Gemäß Artikel 4 Nr. 1 DSGVO sind „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Eine „Verarbeitung von Daten“ stellt gemäß Artikel 4 Nr. 2 DSGVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Insofern ergibt sich ein umfassendes Auskunftsrecht bezogen auf die gespeicherten bzw. verarbeiteten personenbezogenen Daten. Dies beinhaltet Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw.“

Das Gericht stellte jedoch klar, dass in Art. 15 DSGVO kein genereller, allumfassender Auskunftsanspruch zu sehen sei. Vom Auskunftsanspruch erfasste seien lediglich personenbezogenen Daten. Sonstige Daten, insbesondere für interne Zwecke gespeicherte Vorgänge über den Antragsteller, unterlägen nicht der Auskunftspflicht.

„Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann (...). Rechtliche Bewertungen oder Analysen stellen insofern ebenfalls keine personenbezogenen Daten in diesem Sinne dar.“

Dies liege, laut dem Gericht, bereits im Zweck des Art. 15 DS-GVO begründet:

„Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DSGVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält.“

III. Rechtstexte und Auskunftsmuster der IT-Recht Kanzlei
Speziell für Online-Händler bietet die IT-Recht Kanzlei für über 140 Shopsysteme und Plattformen in ihren Schutzpaketen abmahnsichere Rechtstexte an.

Hierzu gehören:

• Allgemeine Geschäftsbedingungen
• Widerrufsbelehrung
• Datenschutzerklärung gemäß DSGVO
• Impressum

Durch eigens entwickelte Konfiguratoren lassen sich die Rechtstexte auf nahezu jede beliebige Ausgestaltung von Online-Verkaufsauftritten anpassen.

Komplettiert wird das Angebot durch einen inklusiven Zugriff auf über 80 Muster und Handlungsanleitungen im Mandantenportal.

Zum Zwecke einer schnellen und rechtssicheren Bearbeitung von Auskunftsverlangen stellt die IT-Recht Kanzlei Ihren Rechtstexte-Mandanten beispielsweise exklusive Musterauskunftsmitteilungen in drei verschiedenen Sprachen (Deutsch, Englisch, Französisch) zur Verfügung. Diese erfassen inhaltlich die folgenden Konstellationen:

• Auskunftserteilung mitsamt Datenkopie
• Negativauskunft bei Nichtverarbeitung personenbezogener Daten
• Auskunftsverweigerung wegen fehlender Identifizierbarkeit des Antragstellers

Rechtstexte für den Online-Shop gibt es bereits ab 9,90 Euro zzgl. USt. / Monat. In diesem Betrag inbegriffen ist ein juristischer Pflegeservice, der für eine dauerhafte Rechtssicherheit der Rechtstexte sorgt.

Dank monatlicher Kündbarkeit bietet die IT-Recht Kanzlei Mandanten volle Flexibilität und Kostenkontrolle.

Sie haben Interesse an den Rechtstexten der IT-Recht Kanzlei?

Weitere Informationen und die Möglichkeit zur Buchung der Rechtstexte für Online-Shops finden Sie hier.

IV. Fazit
Der Auskunftsanspruch hält in der Praxis für Online-Händler als Datenverantwortliche den ein oder anderen juristischen Fallstrick bereit. Macht man sich jedoch ein paar Eckpunkte dieses noch jungen Anspruches aus der DSGVO bewusst, sollte das Auskunftsprozedere in den meisten Fällen keine Probleme bereiten. Positiv zu bewerten ist das Urteil des Landgerichts Köln, das den Umfang der Auskunftspflicht auf personenbezogene Daten begrenzt und den Anwender davon freistellt, darüberhinausgehende Vermerke und Korrespondenzen herauszugeben.

Linkback: https://www.modified-shop.org/forum/index.php?topic=40373.0