Das OLG Köln hat mit Urteil vom 26.07.2019 (Az.: 20 U 75/18) zur Reichweite des Auskunftsanspruchs aus Art. 15 Abs. 1 DS-GVO Position bezogen und im Ergebnis eine weitreichende Auskunftsberechtigung angenommen. Für betroffene Unternehmen bedeutet dies vor allem eins: Viel Aufwand!
Sachverhalt
Der Kläger, der bei der Beklagten eine Lebensversicherung nebst Berufsunfähigkeits-Zusatzversicherung abgeschlossen hatte, verlangte neben der Zahlung bestimmter Beträge eine vollständige Datenauskunft nach § 34 BDSG (a.F). Streitpunkt bildete dabei insbesondere die Reichweite des Auskunftsanspruchs: Diese sollte nach Auffassung des Klägers auf die Herausgabe bestimmter Telefonprotokolle, Dokumentationen oder Vermerke speziell im Hinblick auf die Beantragung von Policen-Darlehen erstreckt werden
Das Landgericht Köln (Az.: 26 O 360/16) wies die Klage inklusive des Auskunftsanspruchs vollständig ab. Der Kläger habe nicht substantiiert genug dargelegt, dass er mit Blick auf die von der Beklagten bereits umfangreich herausgegebenen Unterlagen nicht bereits hinreichende Auskünftige über die ihn betreffenden personenbezogenen Daten erhalten habe. Darüber hinaus – und das war eine der wesentlichen „Botschaften“ des Landgerichts Köln – erstrecke sich der Auskunftsanspruch aus § 34 BDSG nicht auf die vom Kläger beantragten Protokolle, Dokumentationen oder Vermerke.
Entscheidung
Das OLG gab dem Auskunftsanspruch, welcher mittlerweile an Art. 15 DS-GVO zu messen sei und hinsichtlich der Auskunft über Stammdaten für erledigt erklärt wurde, statt. Nach Art. 15 Abs. 1 DS-GVO habe jede betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; sei dies der Fall, so habe sie u.a. ein Recht auf Auskunft über diese personenbezogenen Daten. Diese seien in Art. 4 Nr. 1 DS-GVO definiert als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Unter diese Definition fallen nach Ansicht des OLG Köln sowohl persönliche Informationen wie Name, Anschrift und Geburtsdatum, äußere Merkmale und innere Zustände, aber auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Auch Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen nach Ansicht des OLG Köln einen Personenbezug auf.
Durch Entwicklungen in der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten gebe es, in Einklang mit der Rechtsprechung des Bundesverfassungsgerichts, faktisch keine „belanglosen“ Daten mehr. Soweit in Gesprächsvermerken oder Telefonnotizen Aussagen der betroffenen Person oder Aussagen über die betroffene Person festgehalten seien, handele es sich dabei ohne weiteres um personenbezogene Daten. Eine Begrenzung des Begriffs auf Stammdaten sei mit dem weit gefassten Datenbegriff der DS-GVO nicht in Einklang zu bringen.
Auf den Schutz von Geschäftsgeheimnissen könne sich die Beklagte nicht berufen, da Angaben, die der Kläger selbst gegenüber der Beklagten gemacht habe, nicht schutzbedürftig und damit auch kein Geschäftsgeheimnis darstellen könnte.
Auch auf eine wirtschaftliche Unmöglichkeit in Bezug auf die Durchsuchung und Sicherung von Dateien auf personenbezogene Daten könne sich die Beklagte nicht berufen, da es ihre Sache sei, eine elektronische Datenverarbeitung im Einklang mit der Rechtsordnung zu organisieren und dem Datenschutz sowie den Rechten Dritter Rechnung zu tragen.
Auswirkungen
Auskunftsansprüche erstrecken sich damit nach Auffassung des OLG auch auf alle internen Notizen und Vermerke, die einen Personenbezug aufweisen. Dabei bleibt die Begründung des OLG doch recht dünn. Im Endeffekt liegt nur das weite Verständnis des Begriffs „personenbezogene Daten“ zugrunde.
Insbesondere die Ausführungen zur „wirtschaftlichen Unmöglichkeit“ lassen aus Sicht betroffener Unternehmen Sorge aufkommen. Mit der Verpflichtung, sämtliche Notizen und Vermerke über eine betroffene Person zu suchen und zu sichern, ist unter Umständen ein immenser Arbeitsaufwand verbunden, gerade dann, wenn es, wie im vorliegenden Fall, um solche Daten geht, die vor mehr als einem Jahrzehnt erhoben wurden. Man wird auch aus Unternehmenssicht nicht ohne weiteres auf den Ausnahmetatbestand des § 34 Abs. 1 BDSG neu, wonach eine Auskunftspflicht im Falle unverhältnismäßigen Aufwandes ausgeschlossen sein kann. Die Norm bezieht sich nämlich nur auf bestimmte Fallkonstellationen, nämlich die Fälle, dass personenbezogene Daten nur noch auf Grund von gesetzlichen Aufbewahrungspflichten oder aus Gründen der Datensicherung bzw. Datenschutzkontrolle gespeichert sind. Soweit Daten allerdings (auch) aus weiteren Gründen gespeichert werden, z.B. zur Vertragsdurchführung oder Beweissicherung, kommt ein Rückgriff auf § 34 Abs. 1 BDSG neu und ein Verweis auf „unverhältnismäßigen Aufwand“ gar nicht erst in Betracht.
Auch die Bedenken in Bezug auf einen Geheimnisschutz können nicht pauschal abgetan werden. Umfassen Vermerke und Notizen Bewertungen seitens des Verantwortlichen, lassen sich damit unter Umständen Rückschlüsse auf unternehmensinterne Verfahren ziehen. Auch werden wohl kaum sämtliche Daten aus solchen Vermerken von der betroffenen Person selbst geäußert, wobei dem Verantwortliche auch in solchen Fällen wenig geholfen ist, da er dann regelmäßig zur Komplettverweigerung berechtigt ist, sondern kritische bzw. geheimhaltungsbedürftige Informationen schwärzen darf. Dass die unter Aufwandsgesichtspunkten wenig hilfreich ist, muss nicht weiter erörtert werden.
