Der Auskunftsanspruch gem. Art. 15 DSGVO: Reichweite und Rechtsfolgen bei Verstößen (Dreyer/Füllsack, ITRB 2024, 206)

Im Herbst 2023 gab der Europäische Datenschutzausschuss (EDSA) bekannt, dass er seine dritte koordinierte Durchsetzungsmaßnahme auf den datenschutzrechtlichen Auskunftsanspruch gem. Art. 15 DSGVO richten wird. An dieser Aktion beteiligen sich zahlreiche deutsche Datenschutzbehörden. Die koordinierte Durchsetzungsmaßnahme soll zum einen etwaigen Anpassungsbedarf in den Leitlinien des EDSA zu Art. 15 DSGVO identifizieren. Zum anderen wird auf diesem Weg überprüft, wie datenschutzrechtlich Verantwortliche den Auskunftsanspruch in der Praxis handhaben. Der Beitrag gibt vor diesem Hintergrund einen Überblick über die aktuellen Entwicklungen in der Rechtsprechung zu Art. 15 DSGVO und den Konsequenzen im Fall eines Verstoßes.

I. Ausgangssituation

II. Konkretisierung der Reichweite des Auskunftsanspruchs

1. Kein Wahlrecht bei Auskunft über Empfänger

2. Zurverfügungstellung einer Kopie

3. Erstkopie ohne Entgelt

4. Einschränkungen des Auskunftsanspruchs

a) Kein Personenbezug der geforderten Informationen

b) Rechte und Freiheiten Dritter

c) Rechtsmissbräuchliche und exzessive Geltendmachung

III. Rechtsfolgen bei Verstößen gegen Art. 15 DSGVO

1. Art. 15 DSGVO im Anwendungsbereich von Art. 82 DSGVO?

2. Keine Erheblichkeitsschwelle oder Bagatellgrenze

3. Nachweis des kausalen Schadens

4. Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO

5. Höhe des Schadensersatzes bei Verstoß gegen Art. 15 DSGVO

IV. Fazit

I. Ausgangssituation

Der Anspruch auf Auskunft zählt zu den zentralen Betroffenenrechten im Datenschutzrecht. Gem. Art. 15 Abs. 1 DSGVO hat jede betroffene Person das Recht, von dem datenschutzrechtlich Verantwortlichen eine Bestätigung darüber zu verlangen, ob dieser personenbezogene Daten über sie verarbeitet. Verlangt ein Betroffener Auskunft und werden personenbezogene Daten durch den Verantwortlichen verarbeitet, muss die Auskunft sämtliche der in Art. 15 Abs. 1 lit. a bis h DSGVO genannten Metainfor-ITRB 2024, 207mationen umfassen.  Liegen keine personenbezogenen Daten des Betroffenen vor, ist auch hierüber Auskunft zu erteilen.

Die konkrete Reichweite des Art. 15 DSGVO sowie die Rechtsfolgen im Fall einer unterbliebenen, nicht vollständigen oder verspäteten Auskunftserteilung sind bereits seit Inkrafttreten der DSGVO Gegenstand kontroverser Diskussionen in Rechtsprechung und Literatur. Zuletzt haben verschiedene höchstrichterliche Entscheidungen des EuGH jedoch zu mehr Rechtsklarheit geführt. Im Folgenden werden die aktuellen Entwicklungen in der Rechtsprechung zu Art. 15 DSGVO (II.) sowie die Rechtsfolgen aus Art. 82 DSGVO im Fall einer unzureichenden Auskunft (III.) dargestellt.

II. Konkretisierung der Reichweite des Auskunftsanspruchs

Die Rechtsprechung des EuGH zu Art. 15 DSGVO hat in den vergangenen Monaten verdeutlicht, dass das datenschutzrechtliche Auskunftsrecht nach Auffassung des EuGH weit und betroffenenfreundlich auszulegen ist.

1. Kein Wahlrecht bei Auskunft über Empfänger

Im Januar 2023 hat der EuGH entschieden, dass Verantwortliche mit Blick auf Art. 15 Abs. 1 lit. c DSGVO grundsätzlich verpflichtet sind, die konkrete Identität der Empfänger der personenbezogenen Daten zu benennen.  Lediglich bei offenkundig unbegründeten oder exzessiven Anfragen sowie bei Unmöglichkeit der Identifizierung im Zeitpunkt des Auskunftsersuchens bestehe hiervon eine Ausnahme. In diesem Fall sei es ausreichend, die jeweiligen Empfängerkategorien zu benennen.  Trotz des Wortlauts des Art. 15 Abs. 1 lit. c DSGVO,  aus dem sich kein Vorrangverhältnis schließen lässt, muss nach der Rechtsprechung des EuGH die Anfrage eines Betroffenen möglichst genau beantwortet werden.