BGH: Auskunftsanspruch umfasst auch Korrespondenz und Vermerke

Wie weit das datenschutzrechtliche Auskunftsrecht reicht, beschäftigt Unternehmen und Gerichte seit Geltung der DSGVO. Mit Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) hat sich der Bundesgerichtshof erstmals ausführlich zum Umfang des Anspruchs aus Art. 15 DSGVO geäußert und ihn weit verstanden.

Der Fall

Der Kläger stritt mit seinem Versicherer über eine Lebensversicherung. Neben anderen Ansprüchen verlangte er Auskunft über die zu ihm gespeicherten personenbezogenen Daten. Der Versicherer erteilte eine Auskunft, die sich im Wesentlichen auf Stammdaten beschränkte. Das Berufungsgericht hielt das für ausreichend: Schriftwechsel zwischen den Parteien und interne Vermerke seien nicht vom Auskunftsanspruch erfasst. Der BGH sah das anders.

Die Kernaussagen des BGH

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Der Begriff ist nicht auf „signifikante biografische Informationen“ oder private Angaben beschränkt.
• Auch Schreiben des Betroffenen an das Unternehmen sowie Schreiben des Unternehmens an den Betroffenen enthalten personenbezogene Daten und sind daher grundsätzlich vom Auskunftsanspruch erfasst. Dass der Betroffene den Inhalt bereits kennt, steht dem nicht entgegen.
• Interne Vermerke und interne Kommunikation, die Informationen über den Betroffenen enthalten, etwa Gesprächsnotizen oder Angaben zum Gesundheitszustand, können ebenfalls zu beauskunften sein.
• Eine rechtliche Analyse oder Bewertung ist dagegen selbst keine personenbezogene Information. Die Tatsachen, auf denen sie beruht, sind aber mitzuteilen.

Die Revision des Klägers hatte damit weitgehend Erfolg. Ob der Anspruch im konkreten Fall wegen Unverhältnismäßigkeit begrenzt sein könnte, muss nach weiteren tatsächlichen Feststellungen geklärt werden. Offen geblieben ist zudem, wie weit der Anspruch auf eine Kopie nach Art. 15 Abs. 3 DSGVO im Einzelnen reicht und welche Rolle Ausschlussgründe etwa nach Art. 12 Abs. 5 und Art. 15 Abs. 4 DSGVO künftig spielen werden.

Was bedeutet das für Unternehmen?

Unternehmen können sich bei der Auskunft nicht auf Stammdaten wie Name, Adresse und Vertragsnummer beschränken. In die Recherche einzubeziehen sind E-Mail-Verkehr, Briefe, Gesprächs- und Telefonnotizen, Tickets im Kundenservice und interne Bewertungen. Das erhöht den Aufwand, gerade bei langjährigen Kundenbeziehungen. Umso wichtiger sind eine gute Datenorganisation und ein konsequentes Löschkonzept: Was nicht mehr gespeichert ist, muss auch nicht beauskunftet werden.

Praktische Hinweise zur Bearbeitung von Anfragen, von der Fristberechnung bis zur Schwärzung von Daten Dritter, haben wir in unserem Beitrag „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“ zusammengestellt. Prüfen Sie Ihre Auskunftsprozesse daraufhin, ob Korrespondenz und interne Vermerke tatsächlich erfasst werden.

Was bedeutet das für Betroffene?

Für Verbraucher, Versicherte und Beschäftigte stärkt das Urteil die Position erheblich. Wer wissen möchte, was ein Unternehmen über ihn festgehalten hat, kann sich nicht mit einer Liste von Stammdaten abspeisen lassen. Gerade in Streitigkeiten mit Versicherungen, Banken oder Arbeitgebern kann der Auskunftsanspruch so ein wertvolles Instrument sein.

Wir beraten beide Seiten: Betroffene, die ihren Auskunftsanspruch durchsetzen wollen, und Unternehmen, die eine umfangreiche Anfrage beantworten müssen. Nehmen Sie Kontakt auf oder vereinbaren Sie online einen Termin.