Zuviel Aufwand? Kein Auskunftsanspruch nach DSGVO!

Hintergrund

Der Auskunftsanspruch aus Art. 15 DSGVO spielt mittlerweile in vielen Compliance-Sachverhalten eine wichtige Rolle, weil der Ermittelnde als „Verantwortlicher“ für die Verarbeitung der personenbezogenen Daten des Betroffenen schon während der Ermittlungen und später in gerichtlichen Prozessen grundsätzlich auskunftspflichtig ist. Dabei ist aus rechtlicher Sicht nicht unbedingt der Auskunftsanspruch an sich, sondern vielmehr seine genaue Reichweite, problematisch. Hier stellt sich regelmäßig die Frage, ob der Auskunftsanspruch einschließlich des darin enthaltenen Herausgabeanspruches (Art. 15 Abs. 3 DSGVO), auch interne Dokumente, wie Interviews, Compliance-Berichte oder sogar die gesamte E-Mail-Korrespondenz des Betroffenen betrifft, die bei einer entsprechend langen Betriebszughörigkeit einen ganz erheblichen Umfang haben können. Derzeit müssen Ermittelnde – auch aufgrund erster obergerichtlicher Entscheidungen und mangels einer höchstrichterlichen Klärung – befürchten, schlimmstenfalls auch Ermittlungsergebnisse, Informationen über Ermittlungshandlungen und Korrespondenz im Rahmen des noch laufenden Ermittlungsverfahrens herausgeben zu müssen. Eine solche faktische Ausforschung, die aus praktischer Sicht eine interne Ermittlung deutlich verlangsamt, wenn nicht sogar gefährden kann, widerspricht grundsätzlich den Prinzipien unserer Zivilprozessordnung. Nach dem sog. Beibringungsgrundsatz muss nämlich grundsätzlich derjenige, der etwas beweisen will, dies auch in den Prozess einführen. Dieser zivilprozessuale Grundsatz könnte durch einen im Sinne eines US-amerikanischen „Discovery Verfahrens“ Auskunftsanspruch unzulässig unterlaufen werden. Je nachdem, wie weitgehend man den Auskunftsanspruch auslegt, kann dies aus Sicht des Ermittelnden daher zu einer Schieflage, zumindest aber zu einer nicht unbeträchtlichen „Lästigkeit“, führen. Es verwundert daher nicht, dass in Schadensersatz- oder Kündigungsschutzklagen mittlerweile fast standardmäßig klageweise Auskunft begehrt wird, selbst dann, wenn echtes Auskunftsinteresse nicht besteht. Und jedenfalls die arbeitsgerichtliche Rechtsprechung ist teilweise auch gewillt, die Auskunftsansprüche sehr weit zu fassen und auf Ermittlungsergebnisse zu erstrecken (LAG Baden-Württemberg vom 20.12.2018 – 17 Sa 11/18; siehe hierzu Anm. Kielkowski/Zöll, jurisPR-Compl 2/2019). Dass eine solche Auslegung nicht zwingend ist, zeigen aber andere gerichtliche Entscheidungen (etwa LG Köln vom 18.03.2019 – 26 O 25/18 und vom 19.06.2019 – 26 S 13/18). Neben einer möglichen – bisher abschließend nicht geklärten – tatbestandlichen Begrenzung der Reichweite des Auskunftsanspruchs kommt als andere Verteidigungsstrategie auch die Berufung auf Ausnahmetatbestände (ausführlich: Engeler/Quiel, NJW 2019 S. 2201) sowie der Einwand des Rechtsmissbrauchs in Betracht.

Sachverhalt der Entscheidung

Das Landgericht hatte über ein Auskunftsverlangen eines Vorstandsmitglieds im Rahmen eines D&O Haftungsprozesses zu entscheiden. Der Kläger wurde als ehemaliges Vorstandsmitglied einer mittlerweile insolventen AG  vom Insolvenzverwalter in Anspruch genommen. Für diese war der Kläger im Jahr 2010 für die Dauer von mehr als einem Jahr tätig gewesen. Widerklagend verlangte er im Rahmen des Haftungsprozesses gegen den Insolvenzverwalter global Auskunft bzgl. sämtlicher personenbezogener Daten und konkretisierte sein Auskunftsbegehren auf alle E-Mails, die ihn während der Amtszeit als Vorstand betrafen. Das Besondere im vorliegenden Fall: Der Insolvenzverwalter hatte den gesamten Geschäftsbetrieb, samt der IT, auf der sich das betroffene E-Mail-Konto mit den begehrten E-Mails befanden, an einen Erwerber veräußert. Ein Zugriff auf die Daten war dem Insolvenzverwalter nur noch aufgrund einer Klausel im Kaufvertrag möglich. Die IT selbst wurde wiederum vom Erwerber nicht genutzt und das E-Mail-Konto stillgelegt. Um das Auskunftsbegehren zu erfüllen, hätte das E-Mail-Konto technisch reaktiviert werden müssen, wofür nachweislich Kosten angefallen wären. Daneben wäre notwendig gewesen, vor Herausgabe der E-Mails, alle personenbezogenen Daten von Dritten mittels einer aufwändigen Durchsicht durch einen Anwalt oder Wirtschaftsprüfer zu schwärzen. Daher verweigerte der Insolvenzverwalter die Herausgabe der E-Mails. Er berief sich darauf, dass er nicht mehr für die Datenverarbeitung „verantwortlich“ und die Reichweite des Auskunftsrechts generell begrenzt sei, ein Auskunftsrecht wegen der Stilllegung des IT Systems nach § 34 Abs.1 Ziffer 2 BDSG nicht bestünde und die Herausgabe der E-Mails einen unangemessenen Aufwand bedeutet hätte  sowie darüber hinaus die Anspruchsgeltendmachung rechtsmissbräuchlich erfolge.

Wesentliche Entscheidungsgründe

Das Gericht hat den Auskunftsanspruch abgewiesen. Hinsichtlich des globalen Auskunftsanspruchs sei die Klage bereits unzulässig, da der Antrag zu unbestimmt sei. Der Kläger habe es, außer in Bezug auf die E-Mails, versäumt, sein Auskunftsbegehren entsprechend ErwG 63 DSGVO zu konkretisieren. Ob der Insolvenzverwalter in der vorliegenden Konstellation noch Verantwortlicher ist, bezweifelt das Gericht. Auch hält es den Ausschluss des Auskunftsanspruchs für möglich, wenn dieser sich nur auf Daten in einem Backup bezieht. Im Ergebnis stellt es jedoch darauf ab, dass in Bezug auf die E-Mails ein Auskunftsanspruch nicht gegeben sei. Denn auch wenn die genaue Anzahl der E-Mails nicht feststehe (dazu hätte das System ja reaktiviert werden müssen), wäre die verlangte Auskunft mit einem für die Beklagte unverhältnismäßigen Aufwand verbunden, weil sie unverhältnismäßige Ressourcen bei der Beklagten binden würde. Dabei sei gleichzeitig zu berücksichtigen, dass der Kläger allenfalls ein sehr geringes Informationsinteresse habe. Das zeige sich daran, dass der Kläger seinen Auskunftsanspruch erst Jahre nach der Beendigung der Tätigkeit bei der Beklagten und erst anlässlich der Klageerhebung geltend gemacht habe und hierbei E-Mails herausverlangen wolle, die neun bis zehn Jahre alt seien. Ein fehlendes Informationsinteresse sei aber auch daran sichtbar, dass der Kläger trotz persönlichen Erscheinens in der mündlichen Verhandlung unentschuldigt ferngeblieben war.

Bewertung

Die Entscheidung des Landgerichts Heidelberg wird Compliance-Verantwortliche und deren Anwälte sowie Arbeitgeberanwälte zumindest etwas aufatmen lassen. Denn es zeigt, dass das dem Grunde nach sehr weitgehende Auskunftsrecht im Einzelfall begrenzt ist. Die Auseinandersetzung um den datenschutzrechtlichen Auskunftsanspruch ist damit aber nicht vorbei: Ohne diesen ausdrücklich zu benennen, nutzt das Gericht hier zwar richtigerweise im Ergebnis einen vom Gesetzgeber vorgesehen Ausnahmetatbestand (§ 34 Abs. 1 Ziff. 2 BDSG bzw. Art. 12 Abs. 5 DSGVO) und zeigt damit sehr viel Praxisnähe in Bezug auf die Aufarbeitung von E-Mails, die wegen den unterschiedlichen Adressaten und Anhängen nur sehr aufwändig zu anonymisieren sind. Allerdings wird man nicht verkennen dürfen, dass hier ein besonderer Einzelfall vorliegt. Sind die Daten nicht wie hier stillgelegt, zeigt der Auskunftssuchende ein nachgewiesenes Informationsinteresse und grenzt er seine Auskunft ein (z.B. auf einen bestimmten Ermittlungsbericht), kann die Bewertung sicher auch anders ausfallen. Deswegen muss die sich immer noch im Fluss befindliche Diskussion über die grundsätzliche Reichweite des Auskunftsanspruchs weitergeführt werden. Hierbei muss beachtet werden, dass der Auskunftsanspruch – auch nach Ansicht von Datenschutzbehörden – primär dem Zweck dient, zu kontrollieren, ob die Daten richtig verarbeitet werden. Der Auskunftsanspruch dient also keinem Selbstzweck und auch nicht dazu, sich fehlende Daten zu verschaffen. Fehlt es insoweit an einem begründeten Informationsinteresse im Einzelfall, weil mit der Auskunft lediglich prozesstaktisch Druck ausgeübt wird oder der Prozessgegner (entgegen § 421 ZPO) ausgeforscht werden soll, liegt zumindest Rechtsmissbräuchlichkeit vor, so dass in solchen Fällen ein Auskunftsanspruch nicht bestehen wird.