Europäischer Gerichtshof schärft datenschutz­rechtliches Auskunfts­recht

Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 12. Januar 2023 das datenschutzrechtliche Auskunftsrecht nach Art. 15 DS-GVO über seinen Wortlaut hinaus noch weiter geschärft. Die strengen Anforderungen des EuGH erfordern eine Überprüfung interner Prozesse und Muster für Auskünfte im Unternehmen, um Bußgelder und Schadensersatzforderungen wegen unzureichender Auskünfte zu vermeiden:

Schärfung des datenschutzrechtlichen Auskunftsrechts: Kein Wahlrecht des Verantwortlichen bei Auskunft über Empfänger

Nach Art. 15 DS-GVO haben natürliche Personen das Recht, von datenschutzrechtlich Verantwortlichen eine Bestätigung darüber zu verlangen, ob der Verantwortliche sie betreffende personenbezogene Daten verarbeitet. Ist dies der Fall, so hat die betroffene Person ein Recht auf Auskunft über diese personenbezogenen Daten und auf bestimmte Informationen über die Verarbeitung dieser Daten sowie diesbezügliche Rechte der betroffenen Person. Dazu zählen auch Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen diese personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Art. 15 (1) (c) DS-GVO).

Auf den ersten Blick spricht der Wortlaut des Art. 15 (1) (c) DS-GVO („oder“) offensichtlich für ein Wahlrecht des Verantwortlichen, ob er bei einer Auskunft konkrete Empfänger benennt, oder lediglich Kategorien von Empfängern. Demgegenüber vertritt der EuGH auf Grundlage einer kontextbezogenen Auslegung die Auffassung, der Verantwortliche müsse grundsätzlich die Identität der jeweiligen konkreten Empfänger mitteilen, also nicht nur Empfängerkategorien. Nur ausnahmsweise dürfe der Verantwortliche lediglich Empfängerkategorien mitteilen, nämlich dann, wenn er die konkreten Empfänger nicht identifizieren kann oder nachweist, dass ein Auskunftsantrag offenkundig unbegründet oder exzessiv ist.

Private Enforcement - Schadensersatzforderungen betroffener Personen

Bei Verstößen gegen Auskunftspflichten drohen einerseits behördliche Maßnahmen und empfindliche Bußgelder. Beispielsweise hat die Hessische Datenschutzbehörde Verstöße gegen Auskunftspflichten schon mit Bußgeldern im mittleren fünfstelligen Bereich geahndet.

Die strengen Vorgaben des EuGH dürften auch den aktuell zu beobachtenden Entwicklungen zum Private Enforcement im Datenschutzrecht noch weiteren Vorschub leisten. Es ist zu erwarten, dass sich Unternehmen in Zukunft mit immer mehr Schadensersatzforderungen aufgrund von Verstößen gegen Auskunftspflichten konfrontiert sehen werden, bis hin zu Massenverfahren.

Dabei ist zu beobachten, dass sich in Deutschland zunehmend eine klägerfreundliche Rechtsprechung zu immateriellen Schadensersatzansprüchen im Datenschutz etabliert. Für Verstöße gegen die Auskunftspflicht hat beispielsweise das Landesarbeitsgericht Hamm immateriellen Schadensersatz in Höhe von 1.000 Euro zugesprochen. Das Arbeitsgericht Düsseldorf und das Arbeitsgericht Berlin erkannten für eine verspätete Auskunft sogar immateriellen Schadensersatz in Höhe von 5.000 Euro zu. Diese Entwicklung dürfte immer mehr Personen dazu ermutigen, bei Verstößen gegen Auskunftspflichten Schadensersatzansprüche geltend zu machen.

Revision von internen Prozessen und Muster für Auskünfte im Unternehmen

Wir empfehlen, interne Prozesse und Muster für Auskünfte im Unternehmen angesichts der neuen Rechtsprechung des EuGH sorgfältig zu prüfen und ggf. anzupassen. Vor allem Richtlinien zur Handhabung von Datenschutzanfragen und Vorlagen für Auskünfte sollten einer Revision unterzogen werden, um für Auskunftsanfragen gewappnet zu sein.

Data Protection Litigation

Für Unternehmen wird es durch die aktuellen Entwicklungen zudem immer wichtiger, sich frühzeitig und strategisch mit den Herausforderungen, Chancen und Risiken der Data Protection Litigation auseinanderzusetzen. Das Datenschutzrecht bildet dabei den Schwerpunkt und zugleich das inhaltliche Scharnier zu anderen Bereichen, insbesondere den maßgeblichen Verfahrens- und Prozessordnungen. Essenziell im Bereich der Abwehr von zivilrechtlichen Massenklagen ist dabei auch das nahtlose Ineinandergreifen der datenschutzrechtlichen Expertise mit der Litigation. Mit unserer herausragenden Erfahrung in der Bewältigung von Massenverfahren unterstützen unsere eingespielten Teams aus anerkannten Datenschutz- und Litigation Experten Sie aus einer Hand.