Was passiert, wenn eine betroffene Person keine bzw. keine aus ihrer Sicht richtige Auskunft nach Art. 15 DSGVO erhält? Grundsätzlich wird hier an ein Bußgeld durch eine Datenschutzbehörde gedacht. Daneben besteht für Betroffene aber auch noch die Möglichkeit, die datenverarbeitende Stelle vor einem Zivilgericht in Anspruch zu nehmen. Über einen solchen Fall hatte das Amtsgericht Wertheim zu entscheiden.

Und das Ergebnis: die Verhängung eines Zwangsgeldes in Höhe von 15.000 € (ersatzweise für den Fall, dass dieses nicht beigetrieben werden kann für je 500 € ein Tag Zwangshaft) gegen das auskunftspflichtige Unternehmen (Beschluss vom 12.12.2019 – 1 C 66/19; bei BeckOnline unter BeckRS 2019, 33192; frei abrufbar unter dejure.org)

Worum ging es?

Dem Beschluss des Amtsgerichts ging ein Klageverfahren voraus, im Zuge dessen das Unternehmen verurteilt wurde, Auskunft gemäß Art 15 Abs. 1 DSGVO über die personenbezogenen Daten des Betroffenen bei dem Unternehmen zu erteilen (Anerkenntnisurteil vom 27.05.2019 – 1 C 66/19). Trotz des rechtskräftigen Urteils erteilte das Unternehmen nach Ansicht des Gerichts keine ausreichende Auskunft.

Die Entscheidung des Amtsgerichts

Da die Beklagte ihrer Auskunftspflicht nicht nachgekommen sei, verhängte das Gericht ein Zwangsgeld iHv. 15.000 €. Dabei beanstandete das Gericht insbesondere, dass die erfolgte Auskunft weder vollständig noch inhaltlich richtig gewesen sei:

„Die Frage nach der Herkunft der Daten (…) wird zunächst nicht in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ beantwortet. Die Fa. (:..)  ist in dem Schriftstück (…) lediglich in Klammern und Zusatz „z.B.“ genannt. Der Leser des Schriftstücks kann daraus die Schlussfolgerung ziehen, dass die Daten des Beklagten von der Fa. (…) übermittelt wurden, muss das jedoch nicht.

Eine Auskunft über personenbezogene Daten umfasst grundsätzlich auch die Auskunft darüber, welche konkreten personenbezogenen Daten (also nicht nur die Auskunft, dass ein Name und dass ein Geburtsdatum gespeichert wurde, sondern auch welcher Name, welches Geburtsdatum, etc.) gespeichert sind bzw. verarbeitet werden. Die Mitteilung aller verfügbaren Informationen über die Herkunft der Daten umfasst also – soll sie vollständig sein – nicht nur die Mitteilung von wem die Daten übermittelt wurden, sondern auch wann und mit welchem Inhalt personenbezogene Daten übermittelt wurden.“

Fazit – Was lässt sich für die Praxis aus dem Urteil ableiten?

  • Es lässt sich eine Tendenz zu einer recht strengen Rechtsprechung erkennen, über deren Angemessenheit sich im Einzelnen durchaus diskutieren lässt.
  • In Auskünften sollten Relativierungen, ungenaue Formulierungen und nicht abschließende Angaben wie „z.B.“ und „u.a.“ vermieden werden, um sich nicht dem Vorwurf der unklaren Auskunftserteilung auszusetzen.
  • Im Hinblick darauf, welche konkreten personenbezogenen Daten verarbeitet werden, sollten nicht nur die Datenkategorien, sondern die konkreten Daten mit Herkunft und ggf. Weitergabe an Dritte genannt werden.
  • Zusätzlich fordert das Amtsgericht die Benennung der Zeitpunkte, wann das auskunftspflichtige Unternehmen die Daten mit welchem konkreten Inhalt erhalten hat. Hierbei handelt es sich um eine sehr strenge Forderung, welche nur mit einem internen Datenschutzmanagement überhaupt realisiert werden kann – ob diese Forderung sich insgesamt durchsetzt, bleibt abzuwarten.

Autor: Yvonne Quad

Sie sind unsicher wie Sie mit Auskunftsanfragen richtig umgehen? Gern unterstützen wir Sie!