EuGH: DSGVO – Auskunftsrecht der betroffenen Person

DSGVO: Art 15, Art 99

Die DSGVO gilt nach ihrem Art 99 Abs 2 ab dem 25. 5. 2018 (Anwendungsdatum). Art 15 Abs 1 DSGVO verleiht den betroffenen Personen ein verfahrensmäßiges Recht, Informationen über die Verarbeitung ihrer personenbezogenen Daten zu verlangen. Als Verfahrensvorschrift findet diese Bestimmung auf Auskunftsersuchen Anwendung, die ab der Anwendung dieser VO vorgebracht worden sind. Art 15 DSGVO ist somit auf ein Auskunftsersuchen anwendbar, wenn die Verarbeitungsvorgänge, auf die sich dieses Ersuchen bezieht, vor dem Anwendungsdatum der Verordnung ausgeführt wurden, das Auskunftsersuchen indessen nach diesem Datum vorgebracht wurde.

Die betroffene Person hat nach Art 15 Abs 1 DSGVO das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und ua auf Informationen zu den Verarbeitungszwecken und über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, stellen Informationen dar, die die betroffene Person nach Art 15 Abs 1 DSGVO vom Verantwortlichen verlangen darf. Dagegen sieht diese Bestimmung kein solches Recht in Bezug auf Informationen über die Identität der Arbeitnehmer dieses Verantwortlichen vor, die diese Vorgänge unter seiner Aufsicht und im Einklang mit seinen Weisungen ausgeführt haben, außer wenn diese Informationen unerlässlich sind, um es der betroffenen Person zu ermöglichen, die ihre Rechte nach der DSGVO wirksam wahrzunehmen, und die Rechte und Freiheiten dieser Arbeitnehmer dabei berücksichtigt werden.

Auf die Reichweite des Auskunftsrechts nach Art 15 Abs 1 DSGVO hat es grds keinen Einfluss, dass der Verantwortliche das Bankgeschäft im Rahmen einer reglementierten Tätigkeit ausübt und die Person, deren personenbezogene Daten in ihrer Eigenschaft als Kunde des Verantwortlichen verarbeitet wurden, bei diesem Verantwortlichen auch beschäftigt war.

EuGH 22. 6. 2023, C-579/21, Pankki S

Entscheidung

Der Kl des Ausgangsverfahrens (J.M.) war Kunde von Pankki S und bei ihr beschäftigt gewesen; bereits im Jahr 2014 erlangte er davon Kenntnis, dass seine Kundendaten von Mitarbeitern der Bank im Zeitraum vom 1. 11. bis zum 31. 12. 2013 mehrmals abgefragt worden waren. Nachdem sein Beschäftigungsverhältnis bei Pankki S mittlerweile gekündigt worden war, forderte er Pankki S am 29. 5. 2018 auf, ihm die Identität der Personen offenzulegen, die seine Kundendaten abgefragt hatten, sowie den genauen Zeitpunkt der Abfragen und die Zwecke der Verarbeitung dieser Daten.

Pankki S weigerte sich, Auskünfte über die Identität der Arbeitnehmer zu erteilen, machte in ihrer Antwort allerdings nähere Angaben über die Abfragen, die auf ihre Weisungen hin von ihrer internen Revision ausgeführt worden waren und dazu gedient hätten, im Hinblick auf den identischen Nachnamen eines Schuldners zu klären, ob möglicherweise ein ungehöriger Interessenkonflikt von J.M. als Kundenberater bestanden habe; die Abfragen hätten es in der Folge ermöglicht, den Verdacht eines Interessenkonflikts in Bezug auf J.M. gänzlich auszuräumen.

Die Aufsichtsbehörde iSv Art 4 Nr 21 DSGVO wies den Antrag von J.M. ab, weil sich die angeforderten Daten (Protokolldateien) auf personenbezogene Daten der betreffenden Arbeitnehmer bezögen.

In seinen Entscheidungsgründen weist der EuGH darauf hin, dass aus der Vorlageentscheidung hervorgeht, dass J. M. die Bereitstellung von Informationen über die Identität der Arbeitnehmer von Pankki S nicht deshalb anfordert, weil sie tatsächlich nicht unter Aufsicht und im Einklang mit den Weisungen des Verantwortlichen gehandelt hätten, sondern dass er an der Richtigkeit der Informationen über den Zweck dieser Abfragen zu zweifeln scheint. Unter solchen Umständen hat die betroffene Person auf der Grundlage von Art 77 Abs 1 DSGVO das Recht, bei der Aufsichtsbehörde eine Beschwerde einzulegen, wenn sie die Informationen des Verantwortlichen für nicht ausreichend hält, um ihre Zweifel an der Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten auszuräumen. Die Behörde ist sodann nach Art 58 Abs 1 Buchst a DSGVO befugt, den Verantwortlichen anzuweisen, alle Informationen bereitzustellen, die sie für die Prüfung der Beschwerde der betroffenen Person benötigt.