Die Waffe im (arbeits-)gerichtlichen Verfahren: Der Auskunftsanspruch nach Art. 15 DSGVO

In einem vom OLG Nürnberg (29.11.23, 4 U 347/21, Abruf-Nr. 241616) entschiedenen Fall wurde die Messlatte für die Annahme eines exzessiven und damit nach Art. 12 Abs. 5 DSGVO offenkundig unbegründeten oder exzessiven Auskunftsersuchens sehr hoch gehängt. Dies sah das LG Nürnberg-Fürth (29.1.21, 11 O 5353/20) als Vorinstanz noch deutlich anders:

Der ArbG wandte ein, der Auskunftsanspruch sei wegen des damit verbundenen unverhältnismäßig hohen Erfüllungsaufwands exzessiv und zudem rechtsmissbräuchlich. Außerdem verlange der Kläger die Daten offenkundig nicht aus datenschutzrechtlichen Motiven heraus. Dieser Argumentation folgte zwar das LG Nürnberg-Fürth und wies die Klage ab. Das sah das OLG Nürnberg aber anders:

Letztlich griff für den 4. Senat des OLG Nürnberg auch der Einwand des exzessiven Antrags in Hinblick auf die Datenflut wegen des langjährigen Vertragsverhältnisses nicht. Gerade der Aufwand des Verantwortlichen spiele beim Auskunftsanspruch nach Art. 15 DSGVO keine Rolle. Auch sei in Hinblick darauf, dass es sich um ein Erstbegehren des ehemaligen Mitarbeiters handle, nicht von einem Exzess auszugehen. Die Dauer und Art der Tätigkeit begründeten zwar einen erheblichen Zeitaufwand bei der Erfüllung, dieser sei aber in Hinblick auf die klare Rechtslage hinzunehmen.

Diese Rechtsprechung wird von den Instanzgerichten nicht einhellig geteilt. So entschied der 6. Senat des BGH (6.2.24, VI ZR 15/23, Abruf-Nr. 240236), dass aus Art. 15 Abs. 1 und 3 DSGVO noch kein Anspruch des Versicherungsnehmers auf Abschriften der Begründungsschreiben nebst Anlage zu den Prämienanpassungen mehrerer Jahre in der privaten Krankenversicherung folgt. Eine Art Superauskunftsanspruch, um losgelöst von datenschutzrechtlichen Erwägungen Klagen schlüssig machen zu können, ist der Auskunftsanspruch nach Art. 15 Abs. 1 und 3 DSGVO demnach also nicht. Andererseits gesteht gerade der EuGH (26.10.23, C-307/22) den durch die Datenverarbeitung Betroffenen recht weitgehende Rechte auf Auskunft zu (zum Recht des Patienten auf eine unentgeltliche Erstkopie seiner Patientenakte).

Die Grenze des Exzesses nach Art. 12 Abs. 3 DSGVO ist aber erreicht, wenn die Antragstellung ohne tragfähigen Grund innerhalb kurzer Zeit (z. B. innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO) wiederholt wird oder sie ohne Vorteil für die eigene Rechtsposition des Antragstellers lediglich der Behinderung des Verantwortlichen dient.

Auch in Hinblick auf die Annahme eines exzessiven Auskunftsverlangens sind andere Gerichte wesentlich großzügiger als der 4. Senat des OLG Nürnberg. So kam der 8. Senat desselben Gerichts (OLG Nürnberg 14.3.22, 8 U 2907/21) zum Ergebnis, dass ein exzessiver Antrag bereits vorliege, wenn der Antrag eindeutig datenschutzfremden Zielen, wie der inhaltlichen Überprüfung von Entscheidungen in Hinblick auf Versicherungsprämien diene.

Gleiches gilt generell, wenn der Kläger bereits durch den eigenen Sachvortrag zu dem gestellten Auskunftsbegehren verdeutlicht, dass es ihm in erster Linie um die Prüfung anderer zivilrechtlicher Ansprüche und nicht um die Art und den Umfang der Speicherung und Verarbeitung seiner personenbezogenen Daten geht (OLG Hamm 15.11.21, 20 U 269/21, Abruf-Nr. 229469). Auch der typisch querulatorische Antrag, der dem Verantwortlichen allein erheblichen Mehraufwand bereiten soll, fällt in diese Kategorie (Amtsgericht Pforzheim 5.8.22, 4 C 1845/21, Abruf-Nr. 241617).

Das VG Stuttgart (30.11.23, 11 K 3946/21, Abruf-Nr. 241618) entschied kürzlich in einem Fall mit ca. 3.000 Dokumenten:

„Ein ‚Exzess‘ in der Antragstellung des Klägers liegt aber auch nicht darin, dass der Aufwand der Auskunftserteilung seitens der Beklagten möglicherweise sehr umfangreich ist. Gegenüber dem Bundesbeauftragten für Datenschutz hat die Beklagte angegeben, es lägen 3000 Dokumente, teils mehrseitig, vor. Die Zusammenstellung und der Ausdruck der entsprechenden Unterlagen sei mit einem außer Verhältnis stehenden Arbeitsaufwand verbunden, wobei zu berücksichtigen sei, dass der Inhalt der Verwaltungsunterlagen dem Kläger ohnehin im Wesentlichen bekannt sei. Grundsätzlich ist es Aufgabe des Verarbeiters personenbezogener Daten, seine „IT-Architektur“ so zu gestalten, dass ihm die Erfüllung seiner Pflichten aus der Datenschutz-Grundverordnung möglich ist. Die Verordnung trat bereits im Mai 2016 in Kraft und erlangte im Mai 2018 allgemeine Verbindlichkeit. Wenn sich die Beklagte in den vergangenen 5 ½ Jahren auf die Erfüllung umfangreicher Auskunftspflichten nach Art. 15 Abs. 1 2. Hs. i. V. m. Abs. 3 DSGVO nicht eingestellt hat, muss sie den sich hieraus ergebenden Mehraufwand im Einzelfall tragen.“

Wie jeder prozessuale Klageantrag unterliegt der Auskunftsanspruch nach Art. 15 DSGVO den allgemeinen Zulässigkeitsvoraussetzungen, wenn er erfolgreich vor Gericht durchgesetzt werden soll. Zu diesen gehört im arbeitsgerichtlichen Verfahren die Bestimmtheit der Antragstellung nach § 253 Abs. 2 Nr. 2 ZPO. Insofern äußert der 2. Senat des BAG (16.12.21, 2 AZR 235/21, Abruf-Nr. 227764) erhebliche Zweifel daran, ob allein die in der Praxis durchaus übliche Wiederholung des Gesetzeswortlauts des Art. 15 Abs. 1 DSGVO die an einen hinreichend bestimmten Klageantrag zu stellenden Voraussetzungen erfüllt. Dies erklärt sich daraus, dass der Gesetzeswortlaut als solcher bereits auslegungsbedürftige Begriffe wie „Leistungs- und Verhaltensdaten“ oder „Kopien“ enthält und daher ein solcher Antrag im Falle des Erlasses einer stattgebenden Entscheidung nicht ohne Weiteres der Vollstreckung zugänglich und daher bei enger Auslegung auch nicht bestimmt genug ist.

Das VG Stuttgart (30.11.23, 11 K 3946/21, Abruf-Nr. 241618) beschäftigte sich u. a. mit der Frage, ob ein Verantwortlicher Auskunft über gelöschte personenbezogene Daten erteilen muss. Hierbei urteilte das Gericht, was nicht mehr existiere, könne auch nicht beauskunftet werden. Zwar sei nach Art. 4 Nr. 2 DSGVO das Löschen von Daten eine „Verarbeitung“ personenbezogener Daten. Vollständig gelöschte Daten könnten aber denklogisch nicht Anknüpfungspunkt des Auskunftsanspruchs aus Art. 15 Abs. 1 2. Hs. i. V. m. Abs. 3 DSGVO sein.

Das VG zeigt dies an einem Beispiel: eine Dokumentation eines Löschungsvorgangs wie „Löschungsvorgang am XX.XX.XXXX: alle vom Kläger eingereichten Belege aus dem Kalenderjahr XXXX und davor“ sei dann vom Auskunftsrecht umfasst, wenn sich diese Information noch auf den Betroffenen beziehen lasse. Ob die Ausnahmevorschrift des § 34 Abs. 1 Nr. 2 b BDSG greifen würde, lässt das VG offen. Danach besteht das Auskunftsrecht nach Art. 15 DSGVO nicht, wenn Daten ausschließlich Zwecken der Datenschutzkontrolle dienen und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.

Doch wie geht nun der Verantwortliche vor, der die Auskunft erfüllen will, um zumindest diesen Streitpunkt zu entschärfen?

Beim Einsatz von Profiling oder anderen Techniken der automatisierten Entscheidungsfindung sollten Informationen über Logik, Tragweite und Auswirkungen dieser Verarbeitung auf die Person dokumentiert werden.

Wie genau die Auskunft ausfallen muss, ist weder nach dem Gesetzeswortlaut, noch in der Rechtsprechung bisher eindeutig geklärt. In der Regel ergibt sich die notwendige Konkretheit der Auskunftserteilung aus der Bestimmtheit des Auskunftsverlangens selbst. Aber: Der EuGH stärkt in vielen Fällen die Rechte der Betroffenen. So soll zumindest auf Verlangen der betroffenen Person der Verantwortliche im Rahmen des Auskunftsverlangens verpflichtet sein, über die bloße gesetzlich vorgesehene Benennung der Kategorien von Empfängern der personenbezogenen Daten auch deren Identität mitzuteilen (EuGH 12.1.23, C-154/21). Die bloße Benennung der Kategorien von Empfängern genüge nur dann, wenn die Identifizierung ausnahmsweise nicht möglich oder der Antrag offenkundig unbegründet oder exzessiv sei. Dabei habe es der Auskunftsverlangende in der Hand, ob er sein Verlangen auch auf die konkrete Identität der Empfänger erstrecken wolle oder nicht.

Der BGH (5.3.24, VI ZR 330/21, Abruf-Nr. 240893) äußerte sich jüngst zum Begriff der Kopie von personenbezogenen Daten im Sinne des Art. 15 Abs. 3 DSGVO: