Der datenschutzrechtliche Auskunftsanspruch für Vorstände und Geschäftsführer

Nach Art. 15 Abs. 1 Halbsatz 1 DS-GVO kann die „betroffene Person“ vom Datenverantwortlichen (Art. 4 Nr. 7 DSGVO) Auskunft verlangen, ob Daten von ihr verarbeitet wurden. Ist dies der Fall, hat die betroffene Person ein Recht auf Auskunft über diese Daten. Zudem hat diese Person einen Anspruch auf Überlassung von Kopien der verarbeiteten Daten gemäß Art. 15 Abs. 3 DS-GVO. Der EuGH behandelt diese Elemente als Teile eines einheitlichen umfassenden „Informationszugangsanspruchs“ (EuGH, Urteil vom 12. Januar 2023 – C-154/21 „Österreichische Post AG“; Urteil vom 26. Oktober 2023 – C-307/22 –„FT/DW“). Dieser Anspruch steht nicht nur Arbeitnehmern zu, sondern auch Vorständen und Geschäftsführern (OLG Nürnberg, Urteil vom 29. November 2023 – 4 U 347/21). Dies kann in der Praxis vorteilhaft für Vorstände und Geschäftsführer sein. Oder aus Sicht der Unternehmen zu erheblichem Aufwand führen, im Wissen, dass die Motivation für die Auskunftserteilung „woanders“ liegen könnte.

Anspruchsvoraussetzungen

Der Auskunftsanspruch des Art. 15 DS-GVO hat nur wenige Voraussetzungen. Es genügt, dass personenbezogene Daten der betroffenen Person verarbeitet wurden (Art. 4 Nr. 1, 2 DS-GVO) und die betroffene Person einen Antrag auf Auskunft stellt.

Anspruchsinhalt

Einheitlicher umfassender Informationszugangsanspruch

Wie der Anspruch zu erfüllen ist, richtet sich nach Art. 12 DS-GVO. Der EuGH geht von einem umfassenden Informationszugangsanspruch aus. Zweck des Anspruchs sei die Durchsetzung der datenschutzrechtlichen Ansprüche (etwa auf Löschung von Informationen, Art. 17 DS-GVO; auf Schadensersatz wegen unzulässiger Datenverarbeitung, Art. 82 DS-GVO). Die betroffene Person könne ihre Rechte nur effektiv ausüben, wenn sie vollständige und richtige Daten erhalte. Neben dem Auskunftsanspruch habe die betroffene Person auch ein Recht auf Überlassung von Kopien gemäß Art. 15 Abs. 3 DS-GVO. Der EuGH sieht darin jedoch keinen eigenen Anspruch, sondern lediglich eine Modalität der Anspruchserfüllung.

Reichweite des Informationszugangsanspruchs

Art. 15 Abs. 1 2. Halbsatz DS-GVO enthält eine Auflistung von Informationen, die bereitgestellt werden müssen. „Personenbezogen“ sind gemäß Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Der EuGH misst dem Begriff der „personenbezogenen Daten“ eine weite Bedeutung zu und sieht darin alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen. Voraussetzung sei nur, dass es sich um Informationen „über“ die in Rede stehende Person handele. Eine Beschränkung auf sensible oder private Informationen wird nicht vorgenommen. Die Information muss nur aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft sein.

Verknüpfung von Informationen mit Vorständen oder Geschäftsführern

Vorstände oder Geschäftsführer sind mit vielen Informationen verbunden. Je nach Organisation des Unternehmens kann ein Vorstand oder Geschäftsführer mit allen Dokumenten verbunden sein, welche das Unternehmen verlassen (Emails, Faxe, Briefe etc.). Die reine Nennung auf dem Briefkopf oder in der Signatur von Emails wird (wohl) nicht ausreichen. Anders zu beurteilen sind E-Mail-Korrespondenz oder Einträge in elektronische und physische Kalender und Protokolle. In diesen Fällen ist von einer solchen Verknüpfung auszugehen. Unklar sind Unterschriften in Faksimile. Diese könnten „verbundene“ Informationen sein – mit allen Folgen für den Auskunftsanspruch.

Im Gleichlauf mit Art. 15 Abs. 1 DS-GVO besteht das Recht auf Überlassung von Kopien gemäß Art. 15 Abs. 3 DS-GVO. Vorstände oder Geschäftsführer haben das Recht, eine originalgetreue und verständliche Reproduktion ihrer personenbezogenen Daten zu erhalten. Der EuGH gewährt sogar das Recht, nicht nur eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sondern auch eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder Auszügen aus Datenbanken zu verlangen, die diese Daten enthalten. Verlangt wird nur; dass die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen.

Grenzen des Anspruchs

Auch wenn der Informationszugangsanspruch als umfassend angesehen wird, hat er Grenzen.

Rechte Dritter nach Art. 15 Abs. 4 DS-GVO und nach Art. 29 Abs. 1 Satz 1 BDSG

Grenzen sind die Rechte Dritter nach Art. 15 Abs. 4 DS-GVO und nach Art. 29 Abs. 1 Satz 1 BDSG.

Nach Art. 15 Abs. 4 DS-GVO kann der Anspruch auf Informationserteilung beschränkt werden, wenn Rechte und Freiheiten anderer Personen beeinträchtigt werden. Hierzu gehören insbesondere Urheberrechte, das allgemeine Persönlichkeitsrecht und der Datenschutz Dritter, aber auch der Schutz von Geschäftsgeheimnissen. Hierbei ist eine Verhältnismäßigkeitsprüfung vorzunehmen. Es ist insbesondere das Recht auf Auskunft mit den Rechten Dritter abzuwägen. Eine (Teil-)Schwärzung kann ein milderes Mittel ein.

Der Anspruch kann gemäß Art. 29 Abs. 1 Satz 2 BDSG ausgeschlossen sein, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.

Unverhältnismäßiger Aufwand der Erfüllung des Auskunftsanspruchs

In der Praxis kann die Beantwortung des Anspruchs einen erheblichen Aufwand beim Verantwortlichen erzeugen. Ein allgemeiner Ausschlussgrund wegen unverhältnismäßigen Erfüllungsaufwands besteht jedoch nicht. Der Aufwand des Verantwortlichen spielt demnach für Art. 15 DS-GVO keine Rolle.

„Offenkundig unbegründete oder exzessive Anträge“ i.S.d. Art. 12 Abs. 5 DS-GVO

Gemäß Art 12 Abs. 5 DS-GVO kann der Verantwortliche bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person entweder ein angemessenes Entgelt verlangen oder sich gar weigern tätig zu werden.

Diese Ausnahmen sind jedoch restriktiv auszulegen. Offensichtlich unbegründet heißt, dass ein Anspruch mit Sicherheit nicht besteht. Dies wird bei Auskunftsersuchen nach Art. 15 DS-GVO kaum jemals greifen.

Der Anspruch unterliegt auch keiner Zweckbindung. Die Motivation des Betroffenen spielt keine Rolle. Der Betroffene kann das Auskunftsrecht (auch) für datenschutzfremde Motive verwenden, etwa um Informationen für Vergleichsverhandlungen oder um bei ihm nicht mehr vorhandene Vertragsinformationen zu erhalten (z.B. Auskunft über Konten, Versicherungsbedingungen etc.).

Rechtsfolge bei Verletzung der Auskunftspflicht: Schadensersatz (Art. 82 DS-GVO)

Entgegen der Rechtsprechung einiger Instanzgerichte kann die Verletzung der Auskunftspflicht gemäß Art. 15 DS-GVO einen Schadensersatzanspruch der von der Datenverarbeitung betroffenen Person gemäß Art. 82 DS-GVO begründen. Gemäß Art. 82 Abs. 3 DS-GVO wird die Verantwortlichkeit des Anspruchsgegners für den Verstoß vermutet.

Fazit

Der EuGH sieht den Auskunftsanspruch nach Art. 15 DS-GVO als einen umfassenden Informationszugangsanspruch an. Neben dem Recht auf Auskunftserteilung besteht ein Recht auf Überlassung von Kopien. Bei Vorständen und Geschäftsführern kann dies zu einem erheblichen Aufwand für das Unternehmen führen, da die Geschäftsführung mit einer Vielzahl von Informationen verbunden ist. Es ist wie so häufig:

Für Vorstände und Geschäftsführer kann dieser Anspruch von erheblichem Vorteil sein, wenn sie mit der Gesellschaft über ihr Ausscheiden und/oder eine Abfindung verhandeln.

Für Unternehmen sieht es genau umgekehrt aus. Sie müssen einen erheblichen Aufwand betreiben. Einen Nutzen haben sie nicht.

Der Autor dieses Beitrags steht Ihnen in Fragen zum Informationszugangsanspruchs gemäß Art. 15 DS-GVO oder dessen Abwehr gerne zur Verfügung und hilft Ihre Interessen geltend zu machen.

---

Autor: Dr. Andreas Menkel, Florian Wenzel