AG Wertheim: 15.000 € Zwangsgeld wegen unvollständiger DSGVO-Auskunft
Nach der DSGVO hat jeder Betroffene das Recht zu erfahren, ob und welche personenbezogenen Daten über ihn gespeichert werden. Auf Anfrage müssen der betroffenen Person diese Auskünfte transparent, verständlich und leicht zugänglich in einer klaren und einfachen Sprache übermittelt werden. Das AG Wertheim (Beschl. v. 12.12.2019 – 1 C 66/19) verhängte nun gegen ein Unternehmen ein Zwangsgeld, das diesen Pflichten nicht ausreichend nachkam.
Die Beklagte hatte zuvor gerichtlich anerkannt (AG Wertheim, Urt. v. 27.5.2019 – 1 C 66/19), dem Kläger Auskunft über die bei ihr gespeicherten personenbezogenen Daten zu erteilen. Dem kam sie nach Ansicht des Gerichts jedoch nur unzureichend nach. Das AG Wertheim verhängte ein Zwangsgeld i. H. v. 15.000 € gegen die Beklagte.
Rechtlicher Hintergrund
Den Umfang des Auskunftsanspruchs der betroffenen Person bestimmt Art. 15 Abs. 1 DSGVO:
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Vollständige Auskunft erforderlich
Der Auskunftsanspruch beinhaltet nach Art. 15 Abs. 1 g) DSGVO auch alle verfügbaren Informationen über die Herkunft der Daten, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden. Diese Auskunft sei vorliegend nicht vollständig erteilt worden.
Zunächst stellte das Gericht klar, in welcher Form die Auskunft zu erteilen ist.
Auskunft gemäß Artikel 15 DSGVO ist gemäß Artikel 12 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Übermittlung erfolgt grundsätzlich schriftlich, andere Übermittlungen sind möglich, sofern das im Einzelfall sachdienlich oder im Interesse des Auskunftsberechtigten ist.
Die Beklagte gab vorliegend zu der Herkunft der Daten in Klammern eine Firma mit dem Zusatz „z.B.“ an. Eine beispielhafte Nennung von Unternehmen, die die Daten übermitteln, sei nicht ausreichend im Hinblick auf Art. 12 DSGVO.
Die [...] GmbH ist in dem Schriftstück [...] lediglich in Klammern und Zusatz „z.B.“ genannt. Der Leser des Schriftstücks kann daraus die Schlussfolgerung ziehen, dass die Daten des Beklagten von der [...] GmbH übermittelt wurden, muss das jedoch nicht.
Herkunft der Daten ist konkret anzugeben
Zu den Informationen über die Herkunft der Daten gehöre auch, von wem, wann und mit welchem konkreten Inhalt personenbezogene Daten übermittelt wurden. Diese Voraussetzung sei nicht erfüllt.
Eine Auskunft über personenbezogene Daten umfasst grundsätzlich auch die Auskunft darüber, welche konkreten personenbezogenen Daten (also nicht nur die Auskunft, dass ein Name und dass ein Geburtsdatum gespeichert wurde, sondern auch welcher Name, welches Geburtsdatum, etc.) gespeichert sind bzw. verarbeitet werden. Die Mitteilung aller verfügbaren Informationen über die Herkunft der Daten umfasst also - soll sie vollständig sein - nicht nur die Mitteilung von wem die Daten übermittelt wurden, sondern auch wann und mit welchem Inhalt personenbezogene Daten übermittelt wurden. Dies ergibt sich nicht aus dem genannten Schriftstück.
Da die Beklagte ihrer Auskunftspflicht nicht ausreichend nachgekommen sei, verhängte das Gericht im Rahmen der Zwangsvollstreckung des Auskunftsanspruchs ein Zwangsgeld i. H. v. 15.000 €, ersatzweise für den Fall, dass dieses nicht beigetrieben werden kann, für je 500,00 € ein Tag Zwangshaft.
Fazit
Der betroffenen Person steht u. a. ein Recht auf Auskunft der über sie gespeicherten personenbezogenen Daten nach Art. 15 DSGVO zu. Verlangt der Betroffene Auskunft, muss diese grundsätzlich spätestens innerhalb von einem Monat zur Verfügung gestellt werden. Hierzu sind konkrete Informationen gem. Art. 15 Abs. 1 lit. a) - h) DSGVO notwendig. Jedem Verantwortlichen ist zu empfehlen, sich frühzeitig mit diesem Auskunftsanspruch auseinanderzusetzen und einen internen Prozess zu erstellen, mit dem einem solchen Verlangen vollständig und zügig begegnet werden kann.
Unser Tipp: Im Rahmen unseres Datenschutz 360 stehen Ihnen Muster-Antwortschreiben bereit, um rechtssicher und schnell auf entsprechende Anfragen Ihrer Kunden reagieren zu können.
.jpg)
