Читать книгу: «Privacy Litigation», страница 4

dd) Speicherdauer

Die Formulierung und der Inhalt entsprechen Art. 13 II a) und 14 II a) DSGVO,159 so dass hier nur auf die diesbezüglichen Ausführungen160 verwiesen wird.

ee) Rechtsbelehrung

Die Belehrungspflicht stimmt im Wesentlichen mit Art. 13 II b), d) bzw. Art. 14 II c), e) überein.161 Abweichend hiervon besteht jedoch keine Pflicht, auf das Recht zur Übertragbarkeit der Daten gem. Art. 20 DSGVO hinzuweisen.162 Ob der Verantwortliche dennoch darauf hinweisen sollte,163 wird die Zukunft zeigen. Um das Risiko einer nicht vollständigen Auskunft zu minimieren, mag es eine Überlegung wert sein, über dieses Recht an dieser Stelle zu informieren. Wenn man unterstellt, dass die betroffene Person bei der erstmaligen Erhebung nach Art. 13, 14 DSGVO hierüber ordnungsgemäß informiert wurde, dürfte das Potential, dass das Ausbleiben einer erneuten Information tatsächlich zu einem durchsetzbaren Schaden bei der betroffenen Person führt, allerdings überschaubar bleiben. Hier wird man letztlich eine Risikoabwägung vornehmen müssen. Erfolgt die Auskunftserteilung allerdings – wie in der Praxis üblich – auf Basis eines individuell auszufüllenden Musters, spricht nichts dagegen, in dieses Muster bereits standardmäßig diese Information zu integrieren. Anders als eine unvollständige Auskunft kann eine Auskunft, die überobligatorisch über ein zusätzliches Recht der betroffenen Person informiert, nicht zu einem Schaden führen.

Nach wohl überwiegender Auffassung164 reicht es aus, das Beschwerderecht bei einer Aufsichtsbehörde sowie die für den Verantwortlichen zuständige Aufsichtsbehörde, ohne deren konkrete Adressdaten, aufzuzeigen. Auch wenn die Nennung konkreter Adressdaten vielfach für nicht erforderlich gehalten wird, schaden sie nicht, soweit der Verantwortliche über die entsprechenden Daten verfügt.

ff) Informationen über die Herkunft der Daten

Trotz des abweichenden Wortlauts entspricht diese Verpflichtung nach herrschendem Verständnis165 derjenigen aus Art. 14 II f) DSGVO, sodass auf die Ausführungen hierzu verwiesen166 wird.

gg) Bestehen einer automatisierten Entscheidungsfindung

Der Wortlaut des Art. 15 I h) DSGVO stimmt mit Art. 14 II g) bzw. 13 II f) überein, so dass auf die die dortigen Ausführungen167 inklusive aller Unklarheiten Bezug genommen werden kann.

b) Abgabe von geeigneten Garantien

Die Auskunftsverpflichtung gleicht im Wesentlichen Art. 13 I f) bzw. 14 I f) DSGVO, ist jedoch nicht ganz so weitgehend, da nur auf Art. 46 und nicht auf Art. 45 DSGVO verwiesen wird.168

c) Zurverfügungstellung einer Kopie

Die derzeit strittigste Frage innerhalb des Art. 15 DSGVO dürfte der Anspruch auf die Zurverfügungstellung einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sein. Sowohl innerhalb der Rechtsprechung169 als auch der Literatur170 sind Reichweite und Details des Anspruchs umstritten. Dies beginnt schon bei der Frage, ob es sich bei Art. 15 III DSGVO um einen eigenständigen Anspruch171 oder „nur“ einen Annex172 zu Art. 15 I DSGVO handelt. Mehr als diese dogmatische Einordnung dürfte den Anwender ohnehin die praktische Reichweite des Anspruchs interessieren.173

Eine vollständige Darstellung aller hierzu vertretenen Ansätze würde den vorliegenden Rahmen jedenfalls sprengen, so dass an dieser Stelle nur eine sehr grobe Einordnung in eine extensive und eine restriktive Auslegung erfolgen soll, die freilich zahlreiche Details vertretener Unterströmungen vernachlässigt.

„Die extensive Auffassung“174 geht davon aus, dass der Verantwortliche im Grundsatz Kopien sämtlicher erfasster personenbezogener Daten herausgeben muss. Dies umfasst im Zweifel auch die Herausgabe von E-Mails, Protokollen, Beurteilungen, Prüfungsleistungen175,176 etc., sofern nicht eine der eng auszulegenden Ausnahmen177 greift.

Begründet wird „diese Auffassung“ maßgeblich mit der Erwägung, dass die betroffene Person nur durch die Zurverfügungstellung der Rohdaten in möglichst ungefilterter Form einen transparenten Überblick erhalte, der eine effektive Geltendmachung der Betroffenenrechte ermögliche.178 Allerdings kann hierbei ein erheblicher Arbeitsaufwand179 für die Verantwortlichen entstehen, wenn entsprechende Dokumente auf Ausnahmen gem. Art. 15 IV DSGVO überprüft und ggf. geschwärzt180 werden müssen.

Dies ist neben den sehr weitgehenden Einblicksmöglichkeiten in fremde Informationen, die vor allem dem deutschen Prozessrecht fremd sind,181 und der möglichen Gefahr für Whistleblower182, auch eines der Hauptargumente für „die restriktive Auslegung“ des Art. 15 III DSGVO. Hiernach sollen im Wesentlichen ähnliche oder gleiche Informationen wie im Rahmen des Art. 15 I DSGVO (nur in einer anderen Form)183 zur Verfügung gestellt werden,184 was viele Konflikte mit anderen geschützten Rechtspositionen schon auf Tatbestandsebene185 entschärft oder beseitigt.

Bei näherem Hinsehen zeigt sich natürlich, dass es am Ende des Tages weniger Extrempositionen als vermittelnde Ansichten186 gibt, da auch die oben beschriebenen Ansätze auf die eine oder andere Weise erweitert oder beschränkt187 werden und damit oft weniger weit voneinander entfernt sind, als zunächst befürchtet.

Auch für die Praxis steht daher auf mittelfristige Sicht zu erwarten, dass sich eine vermittelnde Position durchsetzen wird, die keinem der widerstreitenden Interessen den absoluten Vorrang einräumen wird.188 Bis es allerdings so weit ist, kann den Verantwortlichen nur geraten werden, sich an den Rechtsauffassungen der für sie zuständigen Gerichte189190 und Datenschutzbehörden191 zu orientieren und nicht bedingungslos dem für sie günstigsten Ansatz zu folgen.192 Freilich kann es Konstellationen geben, in denen die zuständige Datenschutzbehörde eine andere Rechtsauffassung vertritt als das zuständige Gericht. In diesem Fall muss abgewogen werden, welcher Auffassung man bei der Auskunftserteilung folgt. Sollte der Aufwand für die Einhaltung der Vorgaben nach der strengsten Auffassung in tatsächlicher Hinsicht überschaubar sein – weil nur wenige Daten über die anfragende Person verarbeitet werden – empfiehlt es sich in einer solchen Konstellation, den Weg des geringsten Risikos zu gehen und der strengeren Auslegung zu folgen.

Hinzuweisen ist in diesem Zusammenhang noch auf die Besonderheit des Art. 15 III S. 3 DSGVO, der als Auslegungsregel festlegt, dass die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen sind, wenn die betroffene Person den Antrag elektronisch stellt und sich nichts anderes ergibt. Das elektronische Format ist dabei nicht mit der elektronischen Form gem. § 126a BGB zu verwechseln und meint z.B. die Bereitstellung als PDF oder RTF, die an jedem gängigen Endgerät eingesehen werden können.193

d) Ausschluss des Auskunftsrechts

Umstritten ist, ob das Auskunftsrecht nach Art. 15 I, II DSGVO in bestimmten Fällen ausgeschlossen ist194 oder, ob sich die Ausnahmevorschrift des Art. 15 IV DSGVO nur auf das Recht auf Erhalt einer Kopie nach Art. 15 III DSGVO bezieht.195 Der Wortlaut von Art. 15 IV DSGVO spricht zunächst dafür, dass sich diese Ausnahmeregelung nur auf das Recht auf Erhalt einer Kopie nach Art. 15 III DSGVO bezieht.196

Allerdings regelt Art. 15 IV DSGVO auch nur einen speziellen Ausschlussgrund. Das Unternehmen kann sich in jedem Fall auf die allgemeinen Ausschlussgründe nach Art. 12 V S. 2 lit. b) DSGVO berufen, wenn also ein Auskunftsersuchen offenkundig unbegründet ist oder einen exzessiven Charakter hat.197

Zudem ist das Auskunftsrecht ausgeschlossen, wenn das Unternehmen glaubhaft machen kann, dass es anhand der vorliegenden Informationen und trotz Nachfragen nicht in der Lage ist, die betroffene Person zu identifizieren.

aa) Art. 12 V S. 2 lit. b) DSGVO

Die Ausnahme des Art. 12 V 2 b) DSGVO ist entsprechend ihres Charakters als Ausnahmeregelung restriktiv auszulegen.198 Sie erlaubt es dem Verantwortlichen im Falle offensichtlich unbegründeter oder exzessiver Anträge, ein angemessenes Entgelt zu verlangen bzw. die Auskunft zu verweigern.

Offensichtlich unbegründet kann ein Antrag allenfalls dann sein, wenn von vorneherein feststeht, dass dieser keinerlei Erfolgsaussicht hat.199 Angesichts der negativen Verarbeitungsbestätigung, die nach Art. 15 I DSGVO auch der nicht betroffenen Person zu gewähren ist,200 bleibt für diese Konstellation wohl nur Raum, wenn eine offensichtlich nicht aktivlegitimierte Person den Antrag stellt, zum Beispiel nicht die betroffene Person oder ihr Vertreter, sondern ein Dritter.201

Exzessiv können Anträge ausweislich des Art. 12 V S. 2 DSGVO insbesondere im Fall häufiger Wiederholung sein. Allerdings ist ein Antrag nicht schon deshalb exzessiv, weil er einen erhöhten Bearbeitungsaufwand202 verursacht, hinzukommen muss ein rechtsmissbräuchliches Verhalten des Antragstellers.203 Dies gilt auch für die Wiederholung selbst, diese kann durchaus nicht exzessiv sein, auch wenn sie häufig ist, z.B. weil sich die Umstände ebenso häufig ändern, abweichende Auskünfte erteilt werden204, angemessene Abstände zwischen den Anfragen liegen205 oder schlicht jedes Mal berechtigte Anträge206 gestellt werden, weil der Verantwortliche wiederholte Rechtsbrüche begeht.

Ohnehin stellt sich die Frage, wann eine Wiederholung häufig im Sinne der Norm ist. Während teilweise bestimmte Fristen207 vorgeschlagen werden, wird man richtigerweise die Umstände des Einzelfalls abwägen müssen,208 bis der Tatbestand durch Gerichte und Aufsichtsbehörden schärfer konturiert wird.

Praxishinweis:

Der Normgedanke des Art. 12 V S. 2 DSGVO beruht auf einer Interessenabwägung zwischen betroffener Person und Verantwortlichem. Dabei wird die Erhebung eines angemessenen Entgelts209 i.S.d. Art. 12 V S. 2 a) DSGVO regelmäßig210 das mildere Mittel gegenüber der Totalverweigerung des Art. 12 V S. 2 b) DSGVO darstellen und sollte in der Praxis auch entsprechend gehandhabt werden.211

Gerade im Falle häufiger Anspruchsstellung wird der Verantwortliche den ihm obliegenden Beweis212 der rechtmäßigen Verweigerung leichter führen können, wenn er darlegt,213 dass die betroffene Person sich durch das mildere Mittel des angemessenen Entgelts nicht hat abhalten lassen. Andersrum gilt natürlich auch, dass die Belastung für den Verantwortlichen sinkt, wenn seine Kosten (weitestgehend) gedeckt sind, was ebenso bei der Abwägung zu berücksichtigen ist. In jedem Fall gilt auch hier: der Verantwortliche wird den Nachweis, dass in kurzen Abständen Auskünfte verlangt wurden, im Prozess nur führen können, wenn er ein Verfahren implementiert, das auch die Dokumentation der Auskunftsanfragen und der entsprechenden Auskunftserteilung beinhaltet.

bb) Art. 15 IV DSGVO

Soweit die Ausnahme des Art. 15 IV DSGVO einschlägig ist, erfordert diese die Abwägung mit Rechten und Freiheiten anderer Personen. Als solche kommen in Anlehnung an Erwägungsgrund 63 S. 5 insbesondere214 Geschäftsgeheimnisse oder Rechte des geistigen Eigentums, wie das Urheberrecht an Software, in Betracht. Erforderlich ist insoweit jedoch mehr als eine abstrakte Bedrohungslage, es muss zu einer konkreten Kollision mit einer Rechtsposition kommen.215 Der vierte Absatz ist als Ausnahmevorschrift eng auszulegen216 und muss in seinen Voraussetzungen vom Verantwortlichen der Datenverarbeitung bewiesen217 werden.218 Hierzu passt auch, dass das Vorliegen entgegenstehender Rechte nicht zu einem vollständigen Ausschluss des Anspruchs führen darf,219 wobei freilich schon aus Verhältnismäßigkeitsgesichtspunkten220 folgt, dass die Schwärzung oder Teilkopie221 einzelner Informationen ein milderes Mittel darstellt.

cc) Sonstige Ausnahmen §§ 27ff. BDSG

Auch außerhalb der DSGVO finden sich noch einige Ausnahmen, die aufgrund von entsprechenden Öffnungsklauseln, wie z.B. Art. 23, 85 II oder Art. 89 II DSGVO ergangen sind. Auf diese soll hier zumindest kurz eingegangen werden.222

aaa) § 27 II BDSG

Gem. § 27 II BDSG sind unter anderem die Rechte aus Art. 15 DSGVO so weit ausgeschlossen, als sie die Verwirklichung der genannten Forschungs- oder Statistikzwecke223 unmöglich machen oder ernsthaft beeinträchtigen würden und die Beschränkung für die Erfüllung der Forschungs- und Statistikzwecke notwendig ist.224 Allerdings ist fraglich, ob die Norm mit Unionsrecht vereinbar ist.225