Das Amtsgericht Wertheim hat gegen ein Unternehmen ein Zwangsgeld in Höhe von 15.000 EURO festgesetzt, weil es Auskünfte gemäß Art. 15 DSGVO nicht vollständig erteilte [AG Wertheim, Beschluss vom 12.12.2019 – 1 C 66/19].
Dem o.g. Beschluss in der Vollstreckungssache vorausgegangen war ein Verfahren vor demselben Gericht, das durch Urteil endete, mit dem das beklagte Unternehmen anerkannte, dem Kläger – mit Bezug auf die Verarbeitung seiner Daten bei der Beklagten – folgende Auskünfte erteilen zu müssen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen seiner derartigen Verarbeitung für die betroffene Person.
Diese Ansprüche hat der Kläger aus Art. 15 Abs. (1) DSGVO. Jeder Betroffene kann diese Ansprüche gegen die für die Datenverarbeitung verantwortliche Person geltend machen. Und gemäß Art. 12 DSGVO, der den Transparenzgrundsatz der DSGVO normiert, ist die Auskunft in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zu erteilen, Art 12 Abs. (1) Satz 1 DSGVO.
Den Auskunftsanspruch hatte das beklagte Unternehmen nicht vollständig erfüllt, weil es die Auskunft hinsichtlich Buchstabe g) nicht vollständig erteilte. Das Unternehmen hatte dem Betroffenen nicht alle verfügbaren Informationen über die Herkunft der bei ihm verarbeiteten Daten mitgeteilt.
Transparenzgebot
Die Schuldnerin benannte zur Herkunft der Daten ein Unternehmen (U.P. GmbH) mit dem Zusatz „z.B.“. Für den Anspruchsteller ergibt sich daraus nicht eindeutig, ob seine personenbezogenen Daten gerade von U.P. GmbH an die Beklagte übermittelt worden waren. Die Auskunft entspricht damit nicht der Anforderung des Transparenzgebots aus Art. 12 Abs. (1) Satz 1 DSGVO und war daher nicht vollständig erfüllt.
Anspruchsinhalt Art 15 Abs. (1) Buchstabe g) DSGVO (Herkunft der Daten)
Zum Inhalt des Anspruchs im Sinne des Buchstaben g) vertritt das Amtsgericht die Auffassung:
Eine Auskunft über personenbezogene Daten umfasst grundsätzlich auch die Auskunft darüber, welche konkreten personenbezogenen Daten (also nicht nur die Auskunft, dass ein Name und dass ein Geburtsdatum gespeichert wurde, sondern auch welcher Name, welches Geburtsdatum, etc.) gespeichert sind bzw. verarbeitet werden. Die Mitteilung aller verfügbaren Informationen über die Herkunft der Daten umfasst also – soll sie vollständig sein – nicht nur die Mitteilung von wem die Daten übermittelt wurden, sondern auch wann und mit welchem Inhalt personenbezogene Daten übermittelt wurden.
Auch insoweit waren die Auskünfte der Beklagten unbefriedigend. Die hatte in einem Schreiben mitgeteilt, dass „zum Namen Ihres Mandanten weitere personenbezogenen Daten gespeichert sind, die sich jedoch nicht auf ihn beziehen, sondern denen ein Betrugsfall zugrunde liegt.“ Dem Amtsgericht war das Betrugsverfahren bekannt. Zu den dort verwendeten Daten zählte auch das Geburtsdatum des Klägers; den Auskunftsanspruch des Klägers hatte das Unternehmen also evident nicht vollständig erfüllt.
Mit Beschluss vom 12. Dezember 2019 hat das Amtsgericht Wertheim dem Antrag hinsichtlich sämtlicher titulierter Ansprüche des Klägers (also Auskünfte gemäß den Buchstaben a-h) entsprochen und ein Zwangsgeld in Höhe von 15.000 EURO verhängt.
Weil die Beklagte aber die Auskunftsansprüche der Buchstaben a-f und h bereits im Juli 2019 erfüllt hatte, erwirkte sie durch sofortige Beschwerde die Abänderung des Beschlusses des Amtsgerichts. Das Landgericht Mosbach änderte das Zwangsgeld auf 2.500 EURO, weil auch nach seiner Auffassung der unter Buchstabe g) titulierte Anspruch noch nicht erfüllt war. [Landgericht Mosbach, Beschluss vom 27.01.2020 – 5 T 4/20]
Zum Anspruchsinhalt des Art. 15 Abs. (1) Buchstabe g) DSGVO erklärte das Landgericht Mosbach:
Angaben zur Quelle haben auch die Mittel zu benennen, mit denen die personenbezogenen Daten erhoben wurden.
Und weiter muss die Auskunft Informationen darüber enthalten,
wann, in welcher Form und von wem die Beklagte die persönlichen Daten des Klägers erlangt hat.
Die Beklagte erklärte im Beschwerdeverfahren, dass die bei ihr über den Kläger gespeicherten Daten aus einem bestimmten Bezahlvorgang mit einer GmbH stammen würden. Weitere Auskünfte verweigerte sie mit dem Hinweis, dass es sich nicht um die Daten des Klägers handele. Tatsächlich hatte der Kläger nie bei der GmbH bestellt, selbst also zu keiner Zeit seine personenbezogenen Daten gegenüber der GmbH offengelegt. Das ließ vielleicht vermuten, dass ein unbefugter Dritter missbräuchlich die Daten des Klägers für einen Bestellvorgang genutzt hatte. Darauf kommt es nach Auffassung des Landgerichts aber nicht an.
Dass es deswegen nicht „seine“ Daten seien, weil sie möglicherweise von einer anderen Person missbräuchlich verwendet worden seien, ist jedoch unzutreffend.
Verantwortliche sollten sich rechtzeitig mit den Auskunftsansprüchen aus Art. 15 DSGVO auseinandersetzen. Der Auskunftsanspruch ist im Regelfall unverzüglich, in jedem Fall aber binnen eines Monats zu erfüllen, Art 12 Abs. (3) DSGVO. Im vorliegenden Fall hat das Landgericht ein Zwangsgeld festgesetzt. Das ist keine gerichtliche Ordnungsstrafe, sondern ein Vollstreckungsmittel, mit dem der Schuldner gezwungen werden soll, den titulierten Anspruch des Klägers zu erfüllen.
Dem von der Datenverarbeitung Betroffenen bleibt der Versuch unbenommen, einen Schadensersatzanspruch nach Art. 82 DSGVO durchzusetzen, und die Datenschutzaufsicht hat die Möglichkeit, aus eigenem Anlass oder nach Hinweis des Betroffenen ein Ordnungsgeld festzusetzen.
25.02.2020, Christian Kirchberger
Datenschutzrecht (DSGVO)
Art. 12, 15 DSGVO