Auskunftsanspruchs nach der Datenschutzgrundverordnung

Zur Reichweite des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO.

Der Kl. macht gegen den beklagten Versicherer Ansprüche auf Datenauskunft geltend. Der Kl. schloss mit Wirkung zum 1. Juli 1997 mit einer Rechtsvorgängerin der Bekl. einen Vertrag über eine kapitalbildende Lebensversicherung mit Berufsunfähigkeitszusatzversicherung. Mit Schreiben vom 10. Januar 2016 widersprach der Kl. dem Zustandekommen des Vertrags. Eine weitere Rechtsvorgängerin der Bekl., die P. Lebensversicherungs-AG, wies den Widerspruch zurück. Mit Schreiben vom 5. April 2016 übersandte die P. Lebensversicherungs-AG dem Kl. auf dessen Aufforderung hin eine „Datenübersicht nach § 34 BDSG“. Im Laufe des Rechtsstreits erteilte die Bekl. weitere schriftliche Auskünfte zu den bei ihr verarbeiteten personenbezogenen Daten des Kl. Der Kl. ist der Ansicht, dass die erteilten Auskünfte unvollständig seien. Das Amtsgericht hat die Klage abgewiesen. Das Landgericht hat die Berufung des Kl. zurückgewiesen und dabei die Revision hinsichtlich der Frage des Umfangs des Auskunftsanspruchs nach Art. 15 DSGVO zugelassen.

II. […] 15 2. Soweit die Revision zulässig ist, ist sie auch begründet.

16 a) Die Revision wendet sich mit Erfolg gegen die Beurteilung des Berufungsgerichts, dem Kl. stehe kein weitergehender Auskunftsanspruch gemäß Art. 15 DSGVO gegen die Bekl. zu. Mit der Begründung des Berufungsgerichts kann nicht angenommen werden, die Bekl. habe die nach dieser Vorschrift bestehenden Ansprüche des Kl. bereits vollständig erfüllt.

17 aa) Das Berufungsgericht geht allerdings zu Recht davon aus, dass sich der datenschutzrechtliche Auskunftsanspruch des Kl. nach dem seit dem 25. Mai 2018 unmittelbar anwendbaren Art. 15 DSGVO beurteilt (Art. 99 Abs. 2 DSGVO; vgl. Senatsurteil vom 27. Juli 2020 - VI ZR 405/18, BGHZ 226, 285 Rn. 12). Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und bestimmte weitere Informationen. Gemäß Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.

18 bb) Im Ausgangspunkt zutreffend nimmt das Berufungsgericht weiter an, dass dem Kl. nach dieser Vorschrift grundsätzlich ein Auskunftsanspruch über die bei der Bekl. als Verantwortlicher im Sinne des Art. 4 Nr. 7 Halbsatz 1 DSGVO verarbeiteten ihn betreffenden personenbezogenen Daten zusteht. Seine Annahme, dieser Anspruch sei seitens der Bekl. bereits vollständig erfüllt, ist jedoch rechtsfehlerhaft.

19 (1) Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist (vgl. BGH, Urteil vom 3. September 2020 - III ZR 136/18, GRUR 2021, 110 Rn. 43 m.w.N.).

20 Die Annahme eines derartigen Erklärungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (vgl. BGH, Urteil vom 6. März 1952 - IV ZR 45/50 und - IV ZR 16/51, BeckRS 1952, 103508 Rn. 28 f.; Bittner/Kolbe in Staudinger, BGB, Neubearb. 2019, § 260 Rn. 36 und § 259 Rn. 32).

21 (2) Nach diesen Maßstäben tragen die Erwägungen des Berufungsgerichts die Annahme einer vollständigen Erfüllung des klägerischen datenschutzrechtlichen Auskunftsanspruchs nicht. Das Berufungsgericht hat zwar unangefochten festgestellt, dass die Bekl. dem Kl. bereits gewisse Auskünfte erteilt und angegeben hat, weitere personenbezogene Daten über den Kl. seien nicht gespeichert bzw. verarbeitet worden. Der Kl. hat jedoch, wie sich aus seinem Zwischenfeststellungsantrag und dem Sitzungsprotokoll der Berufungsverhandlung ergibt und worauf die Revision zu Recht hinweist, sein Auskunftsbegehren angesichts der bereits erteilten Auskünfte u. a. dahingehend präzisiert, dass er weitergehende Auskünfte hinsichtlich der gesamten noch nicht mitgeteilten Korrespondenz der Parteien, einschließlich der Daten des vollständigen Prämienkontos und etwaig erteilter Zweitschriften und Nachträge zum Versicherungsschein, sowie Datenauskünfte bezüglich sämtlicher Telefon-, Gesprächs- und Bewertungsvermerke der Bekl. zum Versicherungsverhältnis fordere. Dass die Bekl. auch hinsichtlich dieser Gegenstände des Auskunftsbegehrens erklärt hätte, bereits vollständig Auskunft erteilt zu haben, hat das Berufungsgericht nicht festgestellt. Soweit das Berufungsgericht die Auffassung vertritt, diese Auskunftsgegenstände unterfielen bereits ihrer Art nach nicht dem Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO, beruht dies - jedenfalls teilweise - auf einem fehlerhaften Verständnis des Begriffs der personenbezogenen Daten im Sinne der DSGVO und des Zwecks des datenschutzrechtlichen Auskunftsanspruchs.

22 (a) Gemäß Art. 4 Nr. 1 Halbsatz 1 DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dieser Definition und der Rechtsprechung des Gerichtshofs der Europäischen Union ist der Begriff weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potentiell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (vgl. - noch zu Art. 2 lit. a der Richtlinie 95/46/EG - EuGH, Urteil vom 20. Dezember 2017 - Rs. C-434/16, NJW 2018, 767 Rn. 33-35 m.w.N.; Art.-29-Datenschutzgruppe, Stellungn. 4/2007, WP 136, 10 ff.; zu Art. 4 Nr. 1 DSGVO vgl. Arning/Rothkegel in Taeger/Gabel, DSGVO/BDSG, 3. Aufl. 2019, Art. 4 DSGVO Rn. 8 ff. m.w.N.; Klar/Kühling in Kühling/Buchner, DSGVO/BDSG, 3. Aufl. 2020, Art. 4 Nr. 1 DSGVO Rn. 11 ff.; Klabunde in Ehmann/Selmayr, DSGVO, 2. Aufl. 2018, Art. 4 Rn. 10 f.). Soweit die Revisionserwiderung meint, Art. 15 DSGVO sei im Hinblick auf den Begriff der „personenbezogenen Daten“ teleologisch dahingehend zu reduzieren, dass der Personenbezug im Rahmen von Art. 15 DSGVO voraussetze, dass es um „signifikante biographische Informationen“ gehe, die „im Vordergrund“ des fraglichen Dokuments stünden (so auch Härting, CR 2019, 219, 224; für eine teleologische Reduktion auch Britz/Beyer, VersR 2020, 65, 73 m.w.N.), ist diese Auffassung mit der zitierten Rechtsprechung des Gerichtshofs der Europäischen Union, die sich zweifelsfrei auf den Begriff der personenbezogenen Daten im Sinne des Art. 15 i.V.m. Art. 4 Nr. 1 Halbsatz 1 DSGVO übertragen lässt, ersichtlich nicht zu vereinbaren (ablehnend auch König, CR 2019, 295 Rn. 47; gegen eine Einschränkung auf Tatbestandsebene auch Lembke, NJW 2020, 1841, 1843; Schulte/Welge, NZA 2019, 1110, 1111; Brink/Joos, ZD 2019, 483, 488).

23 Nach Erwägungsgrund 63 Satz 1 der DSGVO dient das Auskunftsrecht der betroffenen Person hinsichtlich der sie betreffenden personenbezogenen Daten dem Zweck, sich der Verarbeitung (zum Begriff vgl. Art. 4 Nr. 2 DSGVO; zu dem vom sachlichen Anwendungsbereich der Verordnung erfassten Bereich der Verarbeitung vgl. Art. 2 Abs. 1, Art. 4 Nr. 6 DSGVO) bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.

24 (b) Nach diesen Grundsätzen können entgegen der Ansicht des Berufungsgerichts die zurückliegende Korrespondenz der Parteien, das „Prämienkonto“ des Kl. und Daten des Versicherungsscheins sowie interne Vermerke und Kommunikation der Bekl. nicht kategorisch vom Anwendungsbereich des Art. 15 Abs. 1 DSGVO ausgeschlossen werden.

25 (aa) Schreiben des Kl. an die Bekl. sind grundsätzlich ihrem gesamten Inhalt nach als personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO anzusehen. Die personenbezogene Information besteht bereits darin, dass sich der Kl. dem Schreiben gemäß geäußert hat (vgl. noch zu § 4 Abs. 1 BDSG 1990 - Senatsurteil vom 23. Juni 2009 - VI ZR 196/08, BGHZ 181, 328 Rn. 17; zu Art. 15 DSGVO vgl. LArbG Baden-Württemberg, BB 2020, 2169, 2174). Auch die Schreiben der Bekl. an den Kl. unterfallen dem Auskunftsanspruch insoweit, als sie Informationen über den Kl. nach den oben genannten Kriterien enthalten. Dass die Schreiben dem Kl. bereits bekannt sind, schließt für sich genommen entgegen der Auffassung des Berufungsgerichts den datenschutzrechtlichen Auskunftsanspruch nicht aus (vgl. Brink/Joos ZD 2019, 483, 485; Schmidt-Wudy in BeckOK DatenschutzR, 35. Ed. 1.2.2021, Art. 15 DSGVO Rn. 52.2; aA wohl LArbG Niedersachsen, Urteil vom 9. Juni 2020 - 9 Sa 608/19, juris Rn. 66; zum gegensätzlichen Regelungsansatz hinsichtlich der Informationspflichten nach Art. 13, 14 DSGVO vgl. Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a DSGVO und Erwägungsgrund 62). Die Bekl. soll Auskunft darüber geben, ob sie die im Schriftverkehr enthaltenen personenbezogenen Daten aktuell verarbeitet, insbesondere speichert. Die Auskunft soll den Kl., wie bereits dargelegt, in die Lage versetzen, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Er soll sich insbesondere vergewissern können, dass die ihn betreffenden Daten richtig sind und in zulässiger Weise verarbeitet werden (vgl. EuGH, Urteil vom 20. Dezember 2017 - Rs. C-434/16, NJW 2018, 767 Rn. 57). Das etwaige Bewusstsein des Kl., dass die fragliche Korrespondenz einst gewechselt wurde, genügt insoweit nicht. Zu beachten ist ferner, dass der Auskunftsberechtigte grundsätzlich wiederholt Auskunft verlangen kann (vgl. Erwägungsgrund 63 Satz 1, Art. 12 Abs. 5 Satz 2 DSGVO). Dies spricht ebenfalls gegen die Auffassung des Berufungsgerichts, das Auskunftsrecht nach Art. 15 DSGVO beschränke sich auf Daten, die dem Betroffenen noch nicht bekannt sind. Daher sind auch etwaige Zweitschriften und Nachträge zu dem Versicherungsschein, auf die sich das Auskunftsbegehren des Kl. ausweislich des Sitzungsprotokolls mit erstreckt, nicht grundsätzlich vom datenschutzrechtlichen Auskunftsanspruch ausgeschlossen, soweit die darin enthaltenen personenbezogenen Daten bei der Bekl. verarbeitet werden. Dementsprechend ist auch nicht ersichtlich, warum bei der Bekl. verarbeitete Daten über Prämienzahlungen des Kl. nicht grundsätzlich Gegenstand des Auskunftsanspruchs sein sollten.

26 Die Korrespondenz der Bekl. mit Dritten kann, wovon auch das Berufungsgericht ausgeht, ebenfalls auf die Person des Kl. bezogene Daten enthalten. Insoweit hat das Berufungsgericht aber unangefochten festgestellt, die Bekl. habe erklärt, dass solche Korrespondenz nicht über die bereits erteilten Auskünfte hinaus geführt worden sei. Mit dieser abschließenden Negativauskunft ist der Auskunftsanspruch des Kl. hinsichtlich dieses Auskunftsgegenstandes erfüllt.

27 (bb) Interne Vermerke oder interne Kommunikation bei der Bekl., die Informationen über den Kl. enthalten, kommen als Gegenstand des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO ebenfalls grundsätzlich in Betracht. Dies ist beispielsweise entsprechend der Beurteilung der Schreiben des Kl. bei Vermerken der Fall, die festhalten, wie sich der Kl. telefonisch oder in persönlichen Gesprächen geäußert hat (vgl. OLG Köln, VersR 2020, 81, 85; Schaffland/Holthaus in Schaffland/Wiltfang, DSGVO/BDSG, Lfg. 3/21, Art. 15 DSGVO Rn. 1d). Auch Vermerke über den Gesundheitszustand des Kl. enthalten personenbezogene Daten. Die Erwägung des Berufungsgerichts, es handele sich bei Vermerken um „interne Vorgänge der Bekl.“, ist im Hinblick auf den Begriff der personenbezogenen Daten ohne Relevanz. Der Auskunftsanspruch gemäß Art. 15 Abs. 1 DSGVO setzt offensichtlich weder nach seinem Wortlaut noch nach Sinn und Zweck voraus, dass die fraglichen Daten extern zugänglich sind.

28 Soweit der Kl. Auskunft über die internen Bewertungen der Bekl. zu den Ansprüchen des Kl. aus der streitgegenständlichen Versicherungspolice verlangt, ist allerdings zu beachten, dass nach der Rechtsprechung des Gerichtshofs der Europäischen Union rechtliche Analysen zwar personenbezogene Daten enthalten können, die auf der Grundlage dieser personenbezogenen Daten vorgenommene Beurteilung der Rechtslage selbst aber keine Information über den Betroffenen und damit kein personenbezogenes Datum darstellt (vgl. EuGH, Urteil vom 17. Juli 2014 - Rs. C-141/12 und C-372/12, CR 2015, 103 Rn. 39 ff.). Daten über Provisionszahlungen der Bekl. an Dritte haben nach den vom Europäischen Gerichtshof entwickelten Kriterien ebenfalls keinen Bezug zur Person des Kl. Sein nach dem Vorbringen der Revision auch hierauf gerichtetes Auskunftsbegehren kann der Kl. daher nicht auf die DSGVO stützen.

29 cc) Die Durchführung eines Vorabentscheidungsverfahrens nach Art. 267 AEUV zur Klärung des Begriffs der personenbezogenen Daten i.S.d. Art. 15 i.V.m. Art. 4 Nr. 1 DSGVO ist nicht geboten. Soweit im derzeitigen Stadium des streitgegenständlichen Verfahrens entscheidungserheblich, ist die Auslegung dieses unionsrechtlichen Begriffs durch die Rechtsprechung des Gerichtshofs der Europäischen Union (Urteile vom 20. Dezember 2017 - Rs. C-434/16, NJW 2018, 767 Rn. 33-35 und vom 17. Juli 2014 - Rs. C-141/12 und C-372/12, CR 2015, 103 Rn. 39 ff.) eindeutig geklärt („acte clair“, vgl. EuGH, Urteil vom 6. Oktober 1982 - Rs. C-283/81, NJW 1983, 1257, 1258; BVerfG, NVwZ 2015, 52 Rn. 35). […]

33 bb) Soweit die Revisionserwiderung geltend macht, der Auskunftsanspruch bestehe nicht, da der Kl. Zwecke verfolge, die Art. 15 Abs. 1 DSGVO nicht schütze, zudem stehe den geltend gemachten Ansprüchen der Einwand des mit ihrer Erfüllung verbundenen unverhältnismäßigen Aufwands für die Bekl. sowie das Geheimhaltungsinteresse der Bekl. entgegen, fehlt es bereits an entsprechenden tatsächlichen Feststellungen im Berufungsurteil. Der Senat kann auf der Grundlage der getroffenen Feststellungen nicht beurteilen, ob vorliegend unter diesen Gesichtspunkten die datenschutzrechtlichen Ansprüche des Kl. aus Art. 15 DSGVO - etwa nach den Vorschriften in Art. 12 Abs. 5 Satz 2, Art. 15 Abs. 4 DSGVO oder Art. 23 Abs. 1 DSGVO i.V.m. § 29 Abs. 1 Satz 2 BDSG - beschränkt werden oder sogar entfallen könnten.

34 c) Ist damit der Klageantrag zu 3 noch nicht abweisungsreif, so steht der nur hilfsweise gestellte Klageantrag zu 4 noch nicht zur Entscheidung. Die von der Revisionserwiderung aufgeworfene Frage, ob § 260 Abs. 2 BGB auch auf den Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO anzuwenden oder die zuletzt genannte Vorschrift auch insoweit abschließend ist, stellt sich damit noch nicht.

Jeder, der Daten eines Menschen entgegennimmt („verarbeitet“ nach der DSGVO), ist darüber auskunftspflichtig. Das betrifft auch Schreiben des anderen und eigene Aktenvermerke. Vermieter sollten das neue Urteil des Bundesgerichtshofs, auch wenn es ein Versicherungsverhältnis betrifft, aufmerksam lesen.

Der Kläger hatte 1997 einen Vertrag über eine Lebensversicherung abgeschlossen; im Jahr 2016 widersprach er dem Zustandekommen des Vertrags. Er verlangte eine Datenübersicht, die Versicherung erteilte mehrfach Auskunft, die er als unvollständig ansah und deshalb klagte. Das Amtsgericht und das Landgericht wiesen die Klage ab; das Landgericht hielt das Verhalten des Klägers für treuwidrig. Die zugelassene Revision war erfolgreich.

Der BGH meinte, der Auskunftsanspruch sei nicht erfüllt, denn dazu gehöre die zumindest konkludente Erklärung, dass die Auskunft vollständig sei. Daran fehle es, wenn der Auskunftspflichtige sich zu bestimmten Gegenständen – möglicherweise rechtsirrig – nicht erklärt habe. Hier habe der Kläger Auskünfte hinsichtlich der gesamten noch nicht mitgeteilten Korrespondenz und bezüglich sämtlicher Telefon-, Gesprächs- und Bewertungsvermerke gefordert. Darauf habe er einen Anspruch, denn auch die Kenntnis von eigenen Schreiben schließe den Anspruch auf Auskunft nicht aus. Diese sei auch über interne Vermerke oder interne Kommunikation zu erteilen; lediglich rechtliche Analysen seien davon ausgenommen. Die Einschränkung, dass es bei personenbezogenen Daten lediglich um „signifikante biographische Informationen“ gehe, verstoße gegen die Rechtsprechung des Gerichtshofs der Europäischen Union. Ob der Auskunftsanspruch wegen eines unverhältnismäßigen Aufwands für die Beklagte oder deren Geheimhaltungsinteresse entfalle, sei vom Berufungsgericht bisher nicht festgestellt. Auch die Frage, ob ein Anspruch nach § 260 Abs. 2 BGB (Versicherung an Eides statt) nach der DSGVO bestehe, stelle sich noch nicht.

Das Urteil eröffnet für Mieter die schier unbegrenzte Möglichkeit, die Durchsetzung von aus dem Mietverhältnis begründeten Ansprüchen des Vermieters zu verhindern oder zumindest zu verzögern. Schon im Fall des AG Wiesbaden, das die Sammlung mehrerer Mietverträge als ein Dateisystem wertete (GE 2021, 886), hatte anlässlich eines Räumungsrechtsstreits der Mieter umfassende Auskunft gemäß Art. 15 DSGVO verlangt. In einer Anmerkung zu der Entscheidung (Büttel, jurisPR-ITR 13/2021 Anm. 3) heißt es, für institutionelle Vermietungsgesellschaften wie etwa die Deutsche Wohnen sei es sicherlich einfacher, die nötigen finanziellen und personellen Ressourcen aufzubringen, um die Einhaltung datenschutzrechtlicher Vorschriften zu gewährleisten.

Die Probleme, die für kleinere Vermieter bei der Einhaltung der datenschutzrechtlichen Bestimmungen entstehen, werden durch die Entscheidung des BGH potenziert. Nach Art. 15 DSGVO hat ein Mieter einen Anspruch auf kostenfreie Kopie von allen durch den Verantwortlichen (Vermieter) verarbeiteten personenbezogenen Daten, wobei Verarbeitung nach der Definition in Art. 1 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang einschließlich des Löschens ist. Jeder Aktenvermerk, jedes Auftragsschreiben für Handwerker, in denen der Name des Mieters auftaucht, jedes eigene Schreiben des Mieters – praktisch alles ist Gegenstand des Auskunftsverlangens und kann in Kopie angefordert werden. Nur für weitere Kopien ist der Vermieter berechtigt, ein angemessenes Entgelt zu verlangen (Art. 15 Abs. 3). Zwar kann die Auskunft verweigert werden bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen (Art. 12 Abs. 5); der Verantwortliche hat jedoch für diese Ausnahme den Nachweis zu erbringen.

Ob das alles noch Sinn macht, muss bezweifelt werden.