Alle haben Anspruch auf Auskunft über ihre personenbezogenen Daten. Das sieht die DSGVO so vor.

Der Bundesgerichtshof legt den Anspruch sehr weit aus. Das ist schön, wenn man selbst Auskunft haben möchte. Es kann aber viel Arbeit machen, wenn man im Unternehmen eine Auskunft vorbereiten muss.

Der Auskunftsanspruch hat zwei Stufen

Der Auskunftsanspruch ist ein zentrales Element des Datenschutzes. Jeder soll erfahren können, was beispielsweise ein Unternehmen über ihn weiß. Der Anspruch besteht aus zwei Stufen. In Stufe 1 kann die betroffene Person Auskunft darüber verlangen, ob überhaupt Daten verarbeitet werden, die sie betreffen. Ist das nicht der Fall, lautet die Antwort nein. Ist es der Fall, lautet die Antwort dagegen ja.

Der Personenbezug von Daten reicht weit

Beim „Ja-Fall“ schließt sich Stufe 2 des Anspruchs an. Dann kann die betroffene Person Auskunft über alle geforderten Daten verlangen, die sie betreffen. Das geht sehr weit. Erfasst ist wirklich alles, was über eine Person vorliegt. Der Bundesgerichtshof hat dies am Beispiel einer Lebensversicherung deutlich gemacht. Demnach umfasst der Anspruch beispielsweise:

  • den gesamten Schriftwechsel zwischen der Versicherung und dem Versicherten
  • alle Daten des Versicherungskontos
  • alle Telefonnotizen und Gesprächsvermerke, die Fakten über die versicherte Person enthalten

Aber, siehe Bundesarbeitsgericht, Urteil vom 27. April 2021, Az. 2 AZR 342/20

Das pauschale Verlangen nicht näher bezeichneter Kopien oder Unterlagen sei nicht hinreichend bestimmt genug, urteilten Erfurter Richter. Verantwortliche müssen also weiterhin Auskunft erteilen, aber sie schulden nur die Überlassung von Kopien genau bezeichneter Unterlagen.

Ehrlich währt am längsten

Was ist, wenn das Unternehmen „persönlichen Notizen“ über Kunden ausdrücklich untersagt hat, sie aber trotzdem vorhanden sind? Dann wird die Existenz dieser Notizen gern verschwiegen, wenn das Unternehmen eine Auskunft zusammenstellen lässt. Die Folge: Die Auskunft ist unvollständig! Das kann dem Unternehmen im Ernstfall erheblichen rechtlichen Ärger bescheren.

Die Auskunft ist oft Basis für weitere Ansprüche

Die Datenschutz-Grundverordnung (DSGVO) gewährt den Auskunftsanspruch, damit die betroffene Person weitere Rechte wahrnehmen kann. Stellt die betroffene Person etwa fest, dass Daten in der Auskunft unrichtig sind, wird sie eine Berichtigung dieser Daten verlangen. Auch das dient natürlich dem Datenschutz und ist in Ordnung.

Wo fängt der Missbrauch an?

Manchmal läuft eine Forderung nach Auskunft aber auch ganz anders ab. Ein Beispiel: Ein Kunde verlangt bei einem Unternehmen Auskunft über alle Daten, die ihn betreffen. Dies geschieht, während ein Rechtsstreit – beispielsweise wegen angeblicher Mängel einer Lieferung – schon in der Luft liegt. Dann geht es dem Kunden eher nicht um den Datenschutz. Manchmal sagt ein Kunde in solchen Fällen auch ganz offen, dass er nach zusätzlichem Beweismaterial für einen Rechtsstreit sucht.

Die Gerichte schwanken noch

Ist das Rechtsmissbrauch oder ist das noch o.k.? Darüber sind sich die Gerichte im Augenblick noch nicht einig. Die DSGVO beschränkt den Auskunftsanspruch nicht auf bestimmte Motive. Das spricht gegen einen Missbrauch. Andererseits ist das Ziel der DSGVO der Datenschutz. Sie sollte nie ein Hebel dafür werden, Vertragspartner schikanieren zu können. Auch als Instrument für die Beschaffung von Beweismaterial war sie nie gedacht. Aber wie gesagt: Die Gerichte entscheiden bisher sehr unterschiedlich.

Auskünfte kosten im Normalfall nichts

Besonders heikel ist das vor dem Hintergrund, dass für eine Auskunft normalerweise nichts berechnet werden darf. Eine Ausnahme gilt, wenn ein „exzessiver Antrag“ vorliegt. Das wäre etwa der Fall, wenn jemand in kurzen Abständen mehrfach Auskunft über dieselben Daten verlangt. Das Beispiel zeigt: Solche Ausnahmen sind wirklich selten.

Interne Anweisungen werden strenger

m Ergebnis müssen sich Unternehmen darauf einstellen, dass sie weitaus häufiger als früher gewohnt umfassend Auskunft erteilen müssen – und das auch noch kostenlos. Der damit verbundene Aufwand ist beträchtlich. Verständlich, dass Unternehmen darauf reagieren. Vielfach legen sie deutlich genauer als bisher durch interne Anweisungen fest, welche Daten die Beschäftigten überhaupt speichern dürfen. Auch die Dauer der Aufbewahrung wird oft strenger geregelt. Alle in einem Unternehmen tun gut daran, solche Vorgaben sorgfältig zu beachten.