Eine erste Analyse der „Guidelines 01/2022 on data subject rights – Right of access“ des Europäischen Datenschutzausschusses

In den ersten Beiträgen dieser Serie hatte ich über den Entwurf des Europäischen Datenschutzausschusses für eine Leitlinie zum Auskunftsrecht berichtet und mit der Analyse des Entwurfs begonnen.

Gegenstand dieses letzten Beitrags der Serie ist Ziffer 6 des Entwurfs der Leitlinie 1/2022. Diese befasst sich mit der Frage, welche Schranken das Auskunftsrecht hat.  

Einleitung

Das Auskunftsrecht unterliegt nur wenigen Beschränkungen. Dabei handelt es sich um:

• Rechte und Freiheiten anderer Personen (Art. 15 Abs. 4 DSGVO)
• Offensichtlich unbegründete oder exzessive Anträge (Art. 12 Abs. 5 DSGVO)
• Einschränkungen im nationalen Recht (Art. 23, 85 Abs. 2 oder 89 Abs. 2 DSGVO)
  • §§ 27 – 29 und 34 BDSG

Weitere Einschränkungen existieren nicht. Insbesondere kann sich der Verantwortliche nicht darauf berufen, dass die Auskunftserteilung nur mit unverhältnismäßig großem Aufwand möglich ist.

Der EDSA verweist hierbei auf den Erwägungsgrund 63, in dem u.a. geregelt ist, dass das Auskunftsrecht dazu dienen soll, dass sich die betroffene Person der Verarbeitung bewusst ist und sie in die Lage versetzen soll, ihre Rechte wahrnehmen zu können. 

Art. 15 Abs. 4 DSGVO

Vom Wortlaut her scheint sich die Einschränkung des Art. 15 Abs. 4 DSGVO nur auf das nach Abs. 3 bestehende Recht auf Kopie zu beziehen. Es besteht jedoch Einigkeit, dass die Beschränkung auch dann Anwendung findet, wenn die Auskunft in anderer Form als durch Übermittlung einer Kopie erfolgt. Diese Auffassung teilt auch der EDSA.

Durch die Auskunft dürfen nach Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Andere Personen in diesem Kontext sind nicht nur Menschen, sondern auch juristische Personen. Erwägungsgrund 63 S. 5 DSGVO liefert Anhaltspunkte dafür, was alles zu den Rechten und Freiheiten zählt. Aufgezählt sind dort „Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software“. Die Aufzählung ist nur exemplarisch und nicht abschließend. Der EDSA führt dazu aus, dass grundsätzlich jedes Recht und jede Freiheit, die aus dem Recht der Europäischen Union oder eines Mitgliedsstaats folgen, eine Beschränkung des Auskunftsrechts auslösen können.

Zu den „anderen Personen“ gehört auch der Verantwortliche selbst. Wäre das nicht gewollt gewesen, hätte der Gesetzgeber den Begriff des „Dritten“, der in der DSGVO verwendet und definiert ist (vgl. Art. 4 Ziffer 10 DSGVO), genutzt.

Der EDSA geht davon aus, dass Art. 12 Abs. 4 DSGVO auch im Falle einer nur teilweise erteilten Auskunft Anwendung findet. Nach Art. 12 Abs. 4 DSGVO muss der Verantwortliche, der auf einen Antrag hin nicht tätig wird, die betroffene Person über die Gründe spätestens innerhalb eines Monats unterrichten und auf die Möglichkeit hinweisen, sich an eine Aufsichtsbehörde zu wenden oder einen gerichtlichen Rechtsbehelf einzulegen. Verweigert der Verantwortliche unter Berufung auf Art. 15 Abs. 4 DSGVO die Auskunft nur teilweise, so ist auch hierüber nach Art. 15 Abs. 4 DSGVO zu unterrichten.

Art. 12 Abs. 5 DSGVO

Nach Art. 12 Abs. 5 DSGVO kann der Verantwortliche die Auskunft „bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen“ verweigern.

Wann liegt ein offenkundig unbegründeter Antrag vor?

Ein Antrag ist nach Auffassung des EDSA offenkundig unbegründet, wenn die Voraussetzungen des Art. 15 DSGVO nicht vorliegen. Da – wie in Teil 3 der Serie (https://pwwl.de/teil-3-das-recht-auf-auskunft-nach-art-15-dsgvo/) dargestellt – die Anforderungen für das Auskunftsrecht aber sehr gering sind, dürften die Fälle, in denen ein offenkundig unbegründeter Antrag vorliegt, in der Praxis kaum vorkommen.

Wann werden Anträge exzessiv?

Diese Frage ist wesentlich schwieriger zu beantworten. Der EDSA führt dazu aus, dass folgende Aspekte nicht dazu führen, dass ein Antrag als exzessiv angesehen werden kann:

• die betroffene Person gibt keine Gründe für den Antrag an;
• der für die Verarbeitung Verantwortliche betrachtet den Antrag als sinnlos;
• die betroffene Person verwendet eine unangemessene oder unhöfliche Sprache;
• die betroffene Person beabsichtigt, die Daten zur Geltendmachung weiterer Ansprüche gegen den für die Verarbeitung Verantwortlichen zu verwenden.

Demgegenüber können Anträge als exzessiv eingestuft werden, wenn:

• eine Person einen Antrag stellt, aber gleichzeitig anbietet, ihn gegen eine gewisse Gegenleistung zurückzuziehen

oder

• das Ersuchen in böswilliger Absicht gestellt wird und dazu dient, einen für die Verarbeitung Verantwortlichen oder seine Mitarbeiter zu belästigen, zum Beispiel aufgrund der Tatsache, dass
  • die Person in der Anfrage selbst oder in anderen Mitteilungen ausdrücklich erklärt hat, dass sie eine Störung beabsichtigt und nichts anderes; 

oder

• der Einzelne systematisch verschiedene Anfragen an einen für die Verarbeitung Verantwortlichen als Teil einer Kampagne stellt, z. B. einmal pro Woche, in der Absicht und mit der Wirkung, Störungen zu verursachen.

Art. 12 Abs. 5 DSGVO scheint den Verantwortlichen ein Wahlrecht zu geben zwischen der Verweigerung einer Auskunftserteilung oder dem Verlangen eines angemessenen Entgelts. Der EDSA weist daraufhin, dass der Verantwortliche nicht vollständig frei in seiner Entscheidung ist. Zwar ist der Verantwortliche nicht generell verpflichtet, zunächst ein angemessenes Entgelt zu verlangen, bevor eine Auskunft vollständig verweigert wird. Der Verantwortliche muss aber unter Berücksichtigung der Umstände des konkreten Falls eine angemessene Entscheidung treffen. Dabei muss er den Grundsatz der transparenten Verarbeitung berücksichtigen, was ein wenig dafür zu sprechen scheint, dass dem Verlangen eines angemessenen Entgelts der Vorzug zu geben ist. 

Einschränkungen im nationalen Recht

Zu den Einschränkungen im deutschen Recht enthält der Entwurf der Leitlinie keine Aussagen.