Zum Europäischen Datenschutztag teilen unsere DORDA Datenschutzexperten gerne wieder ein Update zu aktuellen Entwicklungen im Datenschutzrecht:
Positive Bilanz der DSB zur Schwerpunktprüfung 2024
Wie in unseren Clarity Talks laufend berichtet, untersuchte die Datenschutzbehörde 2024 im Rahmen ihrer Schwerpunktprüfung den Telekomsektor. Der Fokus lag dabei auf den datenschutzrechtlichen Kernpflichten und dem Auskunftsrecht. Die Behörde zeigte sich nun – wie schon 2023 bei den Banken – in Summe mit den Rückmeldungen und Ergebnissen der Prüfung zufrieden. Nur in wenigen Fällen musste sie Nachbesserungen empfehlen. Auch 2025 soll der inhaltliche Fokus beibehalten, aber neben dem Auskunftsrecht auch die Löschfristen stärker unter die Lupe genommen werden. Beide Bereiche stellen die Unternehmen faktisch und rechtlich laufend vor Herausforderungen. Welche Branche konkret geprüft werden soll, steht dagegen noch nicht fest und wird noch gesondert verlautbart.
Unsere DORDA Datenschutzexperten nehmen das zum Anlass, die aktuelle Judikaturlinie zum Auskunftsrecht der Praxis gegenüberzustellen:
Weite Auslegung des Auskunftsrechts vs Rechtsmissbrauch
Wie bereits in unserem Newsletter und Clarity Talks berichtet, wirkt sich der nunmehrige Entfall der Erheblichkeitsschwelle für immaterielle Schadenersatzansprüche nach Art 82 DSGVO (siehe EuGH C-456/22) in der Praxis auf die tatsächliche Ausübung des Auskunftsrechts durch Betroffene aus. Hintergrund ist, dass potentielle Schadenersatzberechtigte zunehmend versuchen über Auskunftsbegehren Informationen zur Evaluierung der eigenen Rechtsposition und Begründung einer Klage zu erhalten. Bisher wurde diese Vorgehensweise eher einzelfallbezogen zur Unterstützung laufender, von Datenschutzfragen unabhängigen Rechtsstreitigkeiten eingesetzt. Neuerdings wird der Auskunftsanspruch aber wesentlich weiter als vorgelagertes Vehikel zur initialen Informationsbeschaffung, um das Bestehen von Ansprüchen im Zusammenhang mit anderen (möglichen) Rechtsverstößen zu evaluieren, genutzt. Ob das zulässig ist und wo die Grenze zum Rechtsmissbrauch verläuft, ist dabei nicht so leicht abgrenzbar:
Verantwortliche können die Erteilung der Auskunft grundsätzlich nur in Ausnahmefällen verweigern: Gemäß Art 12 Abs 5 lit b DSGVO ist das nur bei (i) offenkundiger Unbegründetheit oder (ii) exzessiven Anträgen möglich. Art 12 Abs 5 lit b DSGVO umfasst laut EuGH jedoch grundsätzlich, obwohl nicht explizit genannt, auch Fälle des Rechtsmissbrauchs (vgl etwa EuGH C-307/22). In der Praxis liegt die Herausforderung im vom Verantwortlichen zu erbringenden Nachweis der Missbrauchsabsicht. Das kann auch die Datenschutzbehörden selbst betreffen: In der Entscheidung zu C-416/23 verlangt der EuGH von einer nationalen Datenschutzbehörde, über 70 Beschwerden eines Betroffenen binnen weniger Monate inhaltlich zu erledigen und verneint die Möglichkeit, dies als rechtsmissbräuchlich abzulehnen.
Wann ein Auskunftsantrag nun aber tatsächlich rechtsmissbräuchlich und daher abgelehnt werden kann, hat der EuGH bislang nicht geklärt. Die Rechtsprechung in den Mitgliedstaaten ist bis dato ebenso uneinig, wobei sich zuletzt vorwiegend die Zivilgerichte damit beschäftigt haben:
In Österreich gab es zuletzt eine restriktive Entwicklung, wobei noch höchstgerichtliche Rechtsprechung fehlt. So begehrte ein Kläger von einem Online-Glücksspiel-Anbieter Auskunft über sämtliche Gewinne und Verluste, die er beim Online-Glücksspiel und bei Sportwetten vereinnahmt bzw erlitten hat (OLG Wien, 10.6.2024, 14 R 48/24t). Zweck war unter anderem eine "allenfalls geplante Rückforderungsklage". Entgegen dem Einwand des Beklagten sah das Oberlandesgericht Wien als Berufungsgericht keine offenkundige Unbegründetheit oder Rechtsmissbräuchlichkeit, obwohl der Kläger nachweislich datenschutzfremde Zwecke verfolgte. Weiters sah das Gericht keinen Anhaltspunkt in der DSGVO, dass das Auskunftsrecht zwecks Stärkung der eigenen Position in einem Rechtsstreit verweigert werden dürfte.
Auch in Deutschland fehlt noch Rechtsprechung des Höchstgerichts, aber schlagen die dortigen Oberlandesgerichte zT eine restriktivere Richtung ein: So verlangte eine Klägerin Auskunft über Prämienerhöhungen von Krankenversicherungstarifen. Ziel war die Prüfung potentieller Rückforderungsansprüche aufgrund vermeintlich unwirksamer Beitragserhöhungen. Das Gericht sah darin in ihrer nach dem österreichischen Urteil ergangenen Entscheidung bereits ein Maß an Rechtsmissbräuchlichkeit, das die Ablehnung einer Auskunft erlaube (OLG Düsseldorf, 21.11.2024, 6 U 114/23).
Für Klarheit wird wohl erst wieder der EuGH sorgen. Dazu gibt es bereits einen deutschen Anlassfall, zu dem im Juli 2024 dem europäischen Höchstgericht einschlägige Vorlagefragen vorgelegt wurden. Dabei soll unter anderem geklärt werden, ob eine Auskunft verweigert werden kann, wenn (i) bekannt ist, dass der Betroffene eine Vielzahl an Schadenersatzklagen anstrebt und (ii) offenkundig ist, dass mit dem Auskunftsersuchen ebenfalls Schadenersatzansprüche provoziert werden sollen (etwa durch unvollständige Auskunft).
Fazit und Praxistipp
Bis die Gerichte und Behörden final ausjudiziert haben, wo die Schwelle zum Rechtsmissbrauch bei der Ausübung von hinsichtlich Anzahl und sachfremden Inhalt von der Norm abweichenden Auskunftsansprüchen geklärt ist, ist eine sorgfältige Abwägung und Dokumentation durch die betroffenen Unternehmen erforderlich. Dem Gedanken der Interessensabwägung nach Art 6 Abs 1 lit f DSGVO folgend ist insbesondere zu prüfen, ob eine Auskunft (i) in laufende oder drohende Verfahren eingreift, (ii) die Rechtsposition des Unternehmens schwächt oder auch (iii) Betriebs- und Geschäftsgeheimnisse oder gar Daten Dritter umfasst (vgl § 4 Abs 6 DSG iVm ErwG 63 DSGVO sowie BVwG, 8.7.2024, W137 2278780 1). Das kann in Einzelfällen den schwierig zu erbringenden Nachweis der Missbrauchsabsicht ersparen. Unsere DORDA Datenschutzexperten stehen Ihnen dabei mit ihrer Praxiserfahrung gerne zur Seite und berichten über die weiteren Entwicklungen.