In einem aktuellen Urteil vom 15.03.2024 (Az. VI ZR 330/21) beschäftigte sich der BGH mit der Frage, was mit dem Begriff Kopie der personenbezogenen Daten gemeint ist.

Zum Sachverhalt

Die Beklagte war seit geraumer Zeit als Finanzberaterin für die Klägerin tätig. Sie beriet die Klägerin über Kapitalanlagen und Versicherungen. Im Jahr 2019 forderte die Klägerin die Beklagte auf, ihr Kopien gemäß Art. 15 Abs. 3 DS-GVO von sämtlichen bei ihr befindenden personenbezogenen Daten zu geben. Hierzu gehörten vor allem Telefonnotizen, Aktenvermerke, Protokolle, E-Mails, Briefe und Zeichnungsunterlagen für Kapitalanlagen.

Die Klage ging über mehrere Instanzen, die den Anspruch der Klägerin als gerechtfertigt ansahen. Der BGH jedoch war in diesem Fall allerdings zum Teil anderer Auffassung und stellte fest, dass zwischen gewissen Daten differenziert werden muss.

Im Einzelnen

Der BGH kam zu dem Ergebnis, dass der Anspruch der Klägerin bezüglich Schreiben und E-Mails begründet ist. Hierzu stellt der BGH klar, dass Art. 15 Abs. 1 DS-GVO betroffenen Personen ein Auskunftsrecht über die Verarbeitung personenbezogener Daten gibt. Art. 15 Abs. 3 DS-GVO legt die Modalitäten für die Erfüllung des Auskunftsersuchens fest, indem er unter anderem die Form, in der die Daten zur Verfügung zu stellen sind, regelt, nämlich als Kopie der Daten, ohne jedoch ein anderes Recht zu gewähren als das, was Art. 15 Abs. 1 vorsieht. Auf dieser Grundlage hat die Klägerin ausschließlich Anspruch auf den Erhalt von Kopien der von ihr verfassten und bei der Beklagten vorhandenen Schreiben und E-Mails.

Bezüglich der Definition von personenbezogenen Daten verweist das Gericht auf die Rechtsprechung des EuGH, wonach der Begriff personenbezogene Daten weit zu verstehen ist. Der Begriff umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, vorausgesetzt, dass es sich um Informationen über die in Rede stehende Person handelt.

Unter diesen Aspekten stellt der BGH fest und bestätigt die Auffassung des Berufungsgerichts, dass Schreiben und E-Mails der betroffenen Person an den Verantwortlichen als personenbezogene Daten einzustufen sind.

Nach den obigen Ausführungen stellen Schreiben und E-Mails, die der Beklagten vorlagen, zwar personenbezogene Daten dar, weshalb die Klägerin im Ergebnis auch einen Anspruch auf den Erhalt einer Kopie hat. Dennoch handelt es sich entgegen der Auffassung des Berufungsgerichts bei Schreiben und E-Mails der Beklagten, Telefonnotizen, Aktenvermerken oder Gesprächsprotokollen der Beklagten und Zeichnungsunterlagen für Kapitalanlagen nicht zwangsläufig in ihrer Gesamtheit um personenbezogene Daten der Klägerin, auch wenn sie Informationen über die Klägerin enthalten.

Es ist denkbar, dass interne Vermerke wie Telefonnotizen oder Gesprächsprotokolle die Äußerungen der Klägerin in persönlichen Gesprächen festhalten sollen, Informationen zur Klägerin enthalten. Hiervon kann jedoch nicht in jedem Fall ausgegangen werden. Aus diesem Grund ergibt sich aus dem Erfordernis, eine vollständige Auskunft über personenbezogene Daten zu erteilen, kein Anspruch der Klägerin darauf, dass sämtliche von ihr geforderten Dokumente als Kopie überlassen werden müssen. Dies ist nur in bestimmten Ausnahmefällen möglich.

Fazit

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

WAS SOLLTEN SIE JETZT TUN?

(1) Machen Sie eine Bestandsaufnahme aller Cookies und sonstigen Scripte. Eine vollständige Auflistung der Datenverarbeitungen auf Ihrer Internetseite kann in der Regel nur in Zusammenarbeit mit dem jeweiligen Ersteller der Internetseite erfolgen. Sie können im ersten Schritt hierzu jedoch auch folgende kostenfreie Internetseiten und Anwendungen nutzen:
– Webbkoll
– BuiltWith
– Überprüfung der Google-Analytics-Konfiguration
– Ghostery & uBlock Origin (Browsererweiterung für verschiedene gängige Browser)
– Überprüfung der eingesetzten Cookies über den Browser, z.B. über „Web-Speicher“ bei Firefox

(2) Überlegen Sie, zu welchem Zweck die eingesetzten Cookies und Scripte, bzw. die sich dahinter verbergenden Tools verwendet werden. Vor allem: Prüfen Sie, ob die Tools überhaupt aktiv genutzt werden und ob es vielleicht datenschutzfreundliche Alternativen gibt.

(3) Überprüfen Sie, ob die Elemente für das technische Funktionieren der Webseite zwingend nötig sind. Für alle anderen Cookies und Scripte wird eine Einwilligung des Nutzers benötigt. Einwilligungsbedürftig sind bspw. Cookies oder Dienste im Zusammenhang mit statistischer Analyse und Reichweitenmessung, verhaltens- oder standortbezogene Werbung, sozialen Netzwerken, Streaming-Inhalte, die bei Dritten gehostet werden, sonstigen Inhalten Dritter.

(4) Werden einwilligungsbedürftige Cookies oder Dienste eingesetzt, setzen Sie die Einwilligung nutzerfreundlich und rechtskonform um. Eine praktikable Lösung ist die Verwendung sogenannter „Cookie-Banner“ oder „Consent Management“-Dienste, die für alle gängigen Content Management Systeme als Plugins angeboten werden. Die Grundanforderungen an ein solches Banner sind, dass es sofort und gut sichtbar bei Besuch der Internetseite ist und die gesetzliche Pflichtinformationen (z.B. Impressum, AGB, Datenschutzerklärung) nicht überdeckt. Einwilligungsbedürftige Datenverarbeitungen dürfen erst nach aktiver Zustimmung des Nutzers vorgenommen werden. In der Regel muss ein Besuch der Internetseite auch dann möglich sein, wenn der Nutzer keine Einwilligung erteilt. Ausnahmen können sich im Zusammenhang mit kostenpflichtigen Alternativen ergeben; sie müssen im Einzelfall geprüft werden.

Der Hinweistext soll in klarer und verständlicher Sprache zur Art der Daten, der Verarbeitung, Übermittlung und Speicherdauer informieren. Verwenden Sie idealerweise für die Gestaltung drei gleichartige Auswahl-Schaltflächen, ohne vorausgewählte Optionen:
(a) alle Anbieter akzeptieren, (b) alle Anbieter ablehnen, (c) erweiterte Einstellungen.

Mit der Schaltfläche „erweiterte Einstellungen“ sollten Sie detaillierte Informationen zur Verfügung stellen. Das sind die Beschreibung sämtlicher Verarbeitungszwecke und die Nennung aller Drittanbieter als Datenempfänger mit Unternehmensbezeichnung und Anschrift (die Nennung des Namens oder der Cookie-Domain reicht nicht aus) sowie die Angabe der Speicherdauer der Cookies. Wichtig ist auch, dort Einwilligungen für verschiedene Zwecke oder unterschiedliche Drittanbieter gesondert abgeben zu können. Sie müssen auch die Möglichkeit des jederzeitigen Widerrufs, z.B. mittels eines Buttons „Alle deaktivieren“, anbieten.

(5) In einem letzten Schritt kann es notwendig sein, die Datenschutzinformationen Ihrer Internetseite anzupassen.

Das Dresdner Institut für Datenschutz oder Ihr Datenschutzbeauftragter unterstützt Sie gern, auch in Zusammenarbeit mit Ihrer Internet-Agentur.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.