LG Mosbach: Auskunftspflicht nach DSGVO umfasst auch die konkrete Herkunft der Daten

Nach der DSGVO hat jeder Betroffene das Recht zu erfahren, ob und welche personenbezogenen Daten über ihn gespeichert werden. Dieser Auskunftsanspruch beinhaltet auch alle verfügbaren Informationen über die Herkunft der Daten, wenn sie nicht bei der betroffenen Person erhoben werden. Dies bestätigte nun das LG Mosbach (Beschl. v. 27.1.2020 – 5 T 4/20).

Das AG Wertheim hatte die Beklagte dazu verurteilt, dem Kläger Auskunft über die bei ihr gespeicherten personenbezogenen Daten zu erteilen. Dem kam sie nach Ansicht des Gerichts jedoch nur unzureichend nach. Die Auskunft nach Art. 15 Abs. 1 g) DSGVO sei nicht vollständig erfüllt worden. Daraufhin verhängte das AG Wertheim ein Zwangsgeld i.H.v. 15.000 € gegen die Beklagte. Hiergegen legte sie Beschwerde ein.

Das LG Mosbach entschied, dass die Beklagte diesen Auskunftsanspruch nicht erfüllt habe.

Rechtlicher Hintergrund

Den Umfang des Auskunftsanspruchs der betroffenen Person bestimmt Art. 15 Abs. 1 DSGVO:

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d )falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Herkunft der Daten ist konkret anzugeben

Unstreitig war, dass die Beklagte mit der Auskunft den Pflichten nach Art. 15 Abs. 1 a) - f) und h) nachgekommen war. Das Gericht stellte jedoch fest, dass der Auskunftsanspruch nach Art. 15 Abs. 1 g) DSGVO noch nicht erfüllt sei. Die Beklagte habe nicht mit „genügender Tiefe“ mitgeteilt, woher sie die Daten erhalten habe. Der Auskunftsanspruch umfasse auch Angaben zu den Mitteln, mit denen die personenbezogenen Daten erhoben werden.

Anders als §§ 19, 34 BDSG aF verlangt Art. 15 Absatz 1 lit. g stets die Auskunft über „alle verfügbaren Informationen über die Herkunft“ der Daten. Einzige Voraussetzung für die Pflicht zur Auskunft über die Herkunft der Daten ist, dass diese Daten nicht beim Betroffenen erhoben wurden (BeckOK DatenschutzR/Schmidt-Wudy DS-GVO Art. 15 Rn. 74, 75). Angaben zur Quelle haben auch die Mittel zu benennen, mit denen die personenbezogenen Daten erhoben wurden (Sydow, Europäische Datenschutzgrundverordnung, DSGVO Art. 15 Rn. 10, beck-online).

Erklärung der Beklagten war unzureichend

Die Begründung der Beklagten, die Daten seien lediglich im Rahmen des Bezahlvorgangs erhoben worden, reichen nicht aus.

Die Beklagte erklärt lediglich - und dies auch nicht in ihrem ursprünglichen Auskunftsschreiben, sondern erst mit Schriftsatz im Beschwerdeverfahren - dass die bei ihr gespeicherten Daten alleine im Rahmen eines Bezahlvorgangs bei der [...] GmbH erhoben worden seien und nicht bei weiteren Bezahlvorgängen. Weitere Auskünfte zur Herkunft der Daten verweigert sie mit der Begründung, es handele sich nicht um die Daten des Klägers. Dem ist zwar zuzugeben, dass die Daten - unstreitig - nicht vom Kläger gegenüber der [...] GmbH verwendet wurden, weil er dort nichts bestellt hat. Dass es deswegen nicht "seine" Daten seien, weil sie möglicherweise von einer anderen Person missbräuchlich verwendet worden seien, ist jedoch unzutreffend. Soweit die Beklagte zum Tätigwerden von mit ihr verbundenen Unternehmen vorträgt, ergibt sich hieraus dennoch nicht, wann, in welcher Form und von wem die Beklagte die persönlichen Daten des Klägers erlangt hat.

Die Beschwerde der Beklagten hatte jedoch teilweise Erfolg. Das AG Wertheim hatte das Zwangsgeld zuvor auch für bereits erfüllte Auskunftsansprüche festgesetzt. Insoweit war der Beschluss aufzuheben. Das LG Mosbach reduzierte das verhängte Zwangsgeld auf 2.500 €.

Fazit

Der betroffenen Person steht u. a. ein Recht auf Auskunft der über sie gespeicherten personenbezogenen Daten nach Art. 15 DSGVO zu. Verlangt der Betroffene Auskunft, muss diese grundsätzlich spätestens innerhalb von einem Monat zur Verfügung gestellt werden. Hierzu sind konkrete Informationen gem. Art. 15 Abs. 1 lit. a) – h) DSGVO notwendig. Jedem Verantwortlichen ist zu empfehlen, sich frühzeitig mit diesem Auskunftsanspruch auseinanderzusetzen und einen internen Prozess zu erstellen, mit dem einem solchen Verlangen vollständig und zügig begegnet werden kann.

Unser Tipp: Im Rahmen unseres Datenschutz 360 stehen Ihnen Muster-Antwortschreiben bereit, um rechtssicher und schnell auf entsprechende Anfragen Ihrer Kunden reagieren zu können.

BCFC/Shutterstock.com