Formerfordernisse und Fristen – Folgen bei Verstößen gegen die Auskunftspflicht nach Art. 15 DSGVO
Wenn eine betroffene Person ihren Anspruch auf Auskunft nach Art. 15 DSGVO geltend macht, sind sowohl Formerfordernisse als auch Fristen zu beachten. Unterlassene oder nicht vollständig erteilte Auskünfte können zu Bußgeldern und Schadenersatzklagen führen. Im letzten Teil unserer Miniserie zum Umgang mit dem Recht auf Auskunft nach Art. 15 DSGVO wollen wir der Frage nachgehen, wie Verantwortliche diesen Anforderungen gerecht werden können und welche rechtlichen Konsequenzen deren Nichtbeachtung haben kann.
Übermittlung der Auskunft nach Art. 15 DSGVO – Welche Form ist zu beachten?
Für die Auskunftserteilung ist keine bestimmte Form vorgeschrieben. Vielmehr regelt Art. 12 Abs. 1 DSGVO, dass die Mitteilung gemäß Art. 15 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache zu erfüllen ist. Die Übermittlung der Auskunft kann je nach Sachverhalt schriftlich, elektronisch oder – auf Wunsch der betroffenen Person auch mündlich erfolgen, solange die Identität der betroffenen Person in einer anderen Form nachgewiesen wurde (Art. 12 Abs. 1 S. 2, 3 DSGVO). Der Antragsteller kann also weitgehend bestimmen, auf welchem Weg er die Auskunft erhalten möchte. „Wer einen Brief schreibt, wird die Auskunft in Papierform bekommen, es sei denn, er hat sich ausdrücklich die elektronische Kommunikation (etwa per E-Mail) gewünscht (Art. 12 Abs. 1 Satz 2 DS-GVO). Wer per E-Mail Auskunft begehrt, hat einen Anspruch darauf, die Auskunft auch per E-Mail zu erhalten (siehe Art. 15 Abs. 3 Satz 3 DS-GVO)“, so das Bayerische Landesamt für Datenschutzaufsicht.
Gleichwohl ist die Auskunft gem. Art. 15 Abs. 3 S. 3 DSGVO nach Möglichkeit in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern die betroffene Person den Antrag elektronisch stellt und nichts anderes angibt. Gemeint sind Standardformate wie PDF (Dokumente), JPEG, PNG (Fotos) oder RTF (Texte), die an jedem gängigen Endgerät eingesehen werden können. Dem Verantwortlichen stehen auch andere Wege, wie etwa der Postweg, offen. Voraussetzung dafür ist, dass der elektronische Weg problematisch wäre. So können beispielsweise bereits hohe Datenmengen gegen eine elektronische Übermittlung sprechen, da nicht davon ausgegangen werden kann, dass private E-Mail-Postfächer einen unbeschränkten oder ausreichenden Speicher haben. Als datenschutzfreundlichste Gestaltung wird in Erwägungsgrund 63 zur DSGVO ein vom Verantwortlichen eingerichteter Fernzugriff der betroffenen Person auf ihre eigenen Daten bezeichnet.
Grundsätzlich ist dabei darauf zu achten, dass alle Kommunikationswege angemessene Sicherheitsanforderungen erfüllen müssen.
Erteilung der Auskunft nach Art. 15 DSGVO – Welche Frist ist einzuhalten?
Die in Art. 15 DSGVO geschuldeten Informationen sind unverzüglich, d.h. ohne schuldhaftes Zögern, nach Eingang des Antrags zu erteilen, spätestens jedoch innerhalb eines Monats. In Ausnahmefällen kann der Verantwortliche diese Frist um weitere zwei Monate verlängern (Art. 12 Abs. 3 S. 2 DSGVO). Mögliche Gründe können die Komplexität oder die Anzahl der Anträge sein. Eine Fristverlängerung muss nicht genehmigt werden, jedoch ist der Betroffene unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags über den Grund der Verzögerung und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, in Kenntnis zu setzen (Art. 12 Abs. 3 S. 3 i.V.m. Abs. 4 DSGVO).
Beauftragt die betroffene Person einen Anwalt mit der Geltendmachung seines Auskunftsanspruches, ist die Originalvollmacht anzufordern. Erst nach Vorlage der Vollmacht beginnt der Lauf der Frist nach Art. 12 Abs. 3 S. 1 DSGVO. Dies hat das Amtsgericht Berlin mit Urteil vom 29.07.2019, Az. 7C 185/18 entschieden. Mangels Originalvollmacht kann nicht überprüft werden, ob eine wirksame Stellvertretung des Mandanten durch den Rechtsanwalt vorliegt und die Auskunft dem Anwalt gegenüber überhaupt erteilt werden darf. Der Verantwortliche muss Sorge dafür tragen, dass die Auskunft nicht in falsche Hände gerät.
Versäumt der Verantwortliche die Monatsfrist, so tritt Verzug ohne Mahnung gem. § 286 BGB i.V.m. Art. 12 Abs. 3 S. 1 DSGVO ein, weil sich die Leistung nach dem Kalender berechnen lässt. Beauftragt die betroffene Person nach Ablauf der Frist einen Anwalt mit der Geltendmachung des vorgerichtlichen Auskunftsanspruches, kann sie die hierfür angefallenen Kosten als Verzugsschaden gem. § 286, 288 Abs. 4 BGB geltend machen.
Im Hinblick auf die zu beachtenden Fristen müssen Verantwortliche geeignete organisatorische Maßnahmen treffen, damit die betroffene Person eine beantragte Auskunft zeitnah und in verständlicher Form erhält.
Welche Rechtsfolgen haben Verstöße gegen die Auskunftspflicht nach Art. 15 DSGVO?
Unterlassene, nicht rechtzeitig oder inhaltlich ungenügend erteilte Auskünfte können mit Geldbußen geahndet werden. Dabei sind Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Vorjahresumsatzes möglich (Art. 83 Abs. 5 lit. b DSGVO). Neben dem Unternehmensumsatz hat jedoch auch die Schwere des Verstoßes einen großen Einfluss auf die Höhe der Geldbußen.
Daneben können betroffene Personen bei Verstößen gegen die DSGVO den Ersatz ihres materiellen oder immateriellen Schadens verlangen (Art. 82 Abs. 1 DSGVO). Die Bemessung des Schadenersatzes ist von einer Vielzahl von Faktoren abhängig und somit immer das Ergebnis einer Einzelfallentscheidung. Zivil- und Arbeitsgerichte haben den immateriellen Schaden durch eine fehlerhafte Erfüllung des Auskunftsanspruchs mit bis zu vierstelligen Beträgen geahndet. So hat das Arbeitsgericht (ArbG) Düsseldorf in seinem Urteil vom 05.03.2020 (Az. 9 Ca 6557/18) dem Kläger einen immateriellen Schadenersatz i.H.v. 5.000,00 Euro zugesprochen, weil das beklagte Unternehmen einen Auskunftsanspruch nach Art. 15 DSGVO verspätet und unvollständig erfüllt habe. Das ArbG Düsseldorf hält fest, dass Verstöße gegen die DSGVO effektiv sanktioniert werden müssen, was vor allem durch eine abschreckende Höhe des Schadenersatzes erreicht werden könne. Es ist daher in Zukunft von einer Verschärfung bzgl. der Höhe der Schadenersatzansprüche auszugehen.
Verstöße gegen das Auskunftsrecht nach Art. 15 DSGVO können auch zu erheblichen Reputationsschäden führen. Um Vertrauen zu schaffen empfiehlt sich ein transparenter Umgang mit personenbezogenen Daten.
Liebe Leser*innen, haben wir im Rahmen unserer Miniserie (Teil 1/Identifizierung der betroffenen Person, Teil2/Reichweite der Auskunft nach Art. 15 DSGVO und Teil 3/Formerfordernisse und Fristen – Folgen bei Verstößen gegen die Auskunftspflicht nach Art. 15 DSGVO) ein Thema, das für Sie von Interesse sein könnte, nicht aufgegriffen? Dann freuen wir uns, wenn Sie mit uns Kontakt aufnehmen.
Wir beraten Sie gerne in allen Fragen rund um den Datenschutz.
Autorin: Rosemarie Popa