Auskunftsansprüche können Unternehmen vor erhebliche Herausforderungen stellen. Dies gilt vor allem, wenn Kopien verlangt werden. Mögliche Grenzen zeigt der Bundesfinanzhof auf. Aus den Entscheidungsgründen lassen sich Argumente für eine Verteidigung gegen überbordende Auskunfts- und Herausgabeansprüche ableiten.
Hintergrund
Der EuGH hat im Jahre 2023 (EuGH, Urt. v. 04.05.2023 – EuGH C-487/21) zur Frage der Herausgabe von Kopien personenbezogener Daten eine wichtige Entscheidung getroffen. Dies betraf im Kern die Frage, ob sich Kopien auf personenbezogene Daten als solche oder (auch) auf Dokumente und Daten beziehen, in denen personenbezogene Daten abgebildet sind. Der EuGH hat klargestellt, dass der Anspruch gemäß Art. 15 Abs. 1, 3 DS-GVO grundsätzlich nur auf eine Kopie personenbezogener Daten als solche beschränkt. Mit anderen Worten: Eine aggregierte Übersicht verarbeiteter Daten reicht zunächst aus. Allerdings hat der EuGH die Türe zur Herausgabe von Dokumente und Daten nicht gänzlich verschlossen, sondern deutlich gemacht, dass auch ein auf Dokumente und Daten bezogener Anspruch bestehen kann, wenn dies für die Ausübung von Betroffenenrechten „unerlässlich“ ist.
Für die Praxis hat der EuGH damit mehr Fragen aufgeworfen als beantwortet. Insbesondere die Frage, wann denn nun im Einzelfall auch die Herausgabe ganzer Dokumente bzw. Daten verlangt werden kann, stellt Unternehmen vor erhebliche Probleme. Klare Vorgaben bzw. Orientierungspunkte sind der EuGH-Entscheidung nicht zu entnehmen. Die vorsorgliche Herausgabe aller möglichen Dokumente und Daten, welche personenbezogene Daten von Betroffenen erhalten, ist mit Blick auf Aufwand und Darstellbarkeit regelmäßig keine Option.
Dabei ist auch zu beachten, dass datenschutzrechtliche Auskunftsansprüche vielfach nicht geltend gemacht werden, um datenschutzrechtliche Interessen zu verfolgen. Vielmehr ist es inzwischen „Standard“, dass etwa im Kontext von arbeitsrechtlichen Kündigungsverfahren oder auch Regressverfahren gegen Banken und Versicherungen datenschutzrechtliche Ansprüche als Mittel der Ausforschung oder mit Blick auf den Aufwand als Verhandlungsmasse (zusätzlich) erhoben werden. Mit einem Missbrauchseinwand können entsprechende Ansprüche regelmäßig nicht gekontert werden, so dass auch in solchen Fällen grundsätzlich – umfassend – Auskunft zu erteilen ist.
BGH-Rechtsprechung
Der BGH hatte sich im Jahr 2024 in zwei Entscheidungen (BGH, Urt. v. 05.03.2024 – VI ZR 330/21, BGH, Urt. v. 16.04.2024 – VI ZR 223/21) mit der Reichweite des Auskunftsanspruchs im Hinblick auf Kopien zu befassen. Die Entscheidungen haben allerdings kaum Klarheit gebracht. Zwar sollen alle vom Betroffenen selbst verfassten Dokumente in ihrer Gesamtheit als personenbezogene Daten mit der Folge zu verstehen sein, dass insoweit auch ein Anspruch auf Herausgabe vorhandener Kopien besteht. Im Hinblick auf Dokumente im Übrigen – und bei diesen spielt regelmäßig die Musik – verwies der BGH im Wesentlichen nur auf die Grundsätze aus der EuGH-Entscheidung. Eine weitergehende Auslegung der Voraussetzungen für einen Herausgabeanspruch erfolgte nicht.
Bewertung durch den Bundesfinanzhof
Interessant erscheint vor diesem Hintergrund eine – eher wenig beachtete – Entscheidung des Bundesfinanzhofs (BFH, Urt. v. 07.05.2024 – IX R 21/22), in welcher sich das Gericht vergleichsweise detailliert und auch klar zu den Voraussetzungen und Grenzen eines Herausgabeanspruchs positionierte.
Ein Anspruch auf Bereitstellung von Kopien betroffener Dokumente (nicht nur der personenbezogenen Daten als solchen) bestehe nur, wenn – insoweit griff der BFH auf die Formel des EuGH zurück – die Zurverfügungstellung unerlässlich ist, um dem Betroffenen die wirksame Ausübung der durch die DS-GVO verliehenen Rechte zu ermöglichen. Im Gegensatz zum BGH äußerte sich der BFH zu der Frage, wann dies der Fall sein soll:
- Für die Unerlässlichkeit der Bereitstellung bestehe keine Vermutung
- Die betroffene Person müsse die Erforderlichkeit für die Rechtewahrnehmung darlegen
- Ein Anspruch auf eine Kopie von Dokumenten bestehe nur ausnahmsweise
- Die betroffene Person sei durch Mitteilung personenbezogener Daten und Verarbeitungszweck regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit der Verarbeitung zu prüfen
Strategie und Auskunftsverfahren
Aus diesen Eckpunkte lässt sich durchaus eine Strategie zur Verteidigung gegen überbordende datenschutzrechtliche Auskunfts- bzw. Herausgabeansprüche ableiten.
Dr. Sascha Vander hat sich im Rahmen einer Vortragsreihe mit den Folgen des EuGH-Urteils und der obergerichtlichen Rechtsprechung in Deutschland befasst. Er stellt die Entscheidungen vor und gibt mögliche Strategien an die Hand.
Die Vortragsunterlagen hier abrufbar: Vortrag Auskunft
