1. Was war passiert?
Eine ehemalige Mandantin verlangte von ihrem früheren Rechtsanwalt Auskunft über ihre personenbezogenen Daten. Außerdem wollte sie Zugriff auf die Unterlagen ihres Mandats erhalten.
Der Anwalt hatte die Mandantin zuvor bei der Regulierung von Ansprüchen aus einem Verkehrsunfall vertreten. Nach der Beendigung des Mandats benötigte sie die Unterlagen, um ihre Angelegenheit mit einem neuen Rechtsanwalt fortzuführen.
Das Auskunftsersuchen datierte vom 7. Januar 2020.
Der frühere Anwalt erteilte die Auskunft allerdings erst im Oktober 2020 – also rund neun Monate später. Auch die Handakten wurden erst zu diesem Zeitpunkt herausgegeben.
Die Mandantin machte daraufhin unter anderem Schadensersatz wegen der verzögerten Auskunft geltend.
Das OLG Köln gab ihr insoweit recht und sprach ihr 500 Euro immateriellen Schadensersatz zu (Urteil vom 14.07.2022 – 15 U 137/21).2. Welche Frist gilt für DSGVO-Auskunftsanträge?
Nach Art. 12 Abs. 3 DSGVO müssen Verantwortliche Informationen über die auf einen Antrag nach Art. 15 DSGVO ergriffenen Maßnahmen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen.
Das gilt nicht nur für große Unternehmen, sondern grundsätzlich für alle Verantwortlichen – also beispielsweise auch für kleine Betriebe, Freiberufler oder Vereine.
Wann ist eine Fristverlängerung möglich?
Die Frist kann um bis zu zwei weitere Monate verlängert werden, wenn dies wegen der Komplexität oder Anzahl der Anträge erforderlich ist.
Wichtig ist dabei: Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.
Eine solche Verlängerung ist kein Automatismus. Insbesondere rechtfertigen Personalmangel, fehlende Zuständigkeiten oder eine unzureichende interne Organisation nicht ohne Weiteres eine spätere Antwort.
Im Fall des OLG Köln lag zwischen Auskunftsantrag und Antwort ein Zeitraum von rund neun Monaten. Das Gericht sah darin einen Verstoß gegen die DSGVO.
3. Kann eine verspätete Auskunft Schadensersatz auslösen?
Ja. Ein Verstoß gegen die Auskunftspflichten kann grundsätzlich einen Anspruch nach Art. 82 DSGVO begründen.
Das OLG Köln stellte ausdrücklich klar, dass die Haftung nicht auf Fälle beschränkt ist, in denen personenbezogene Daten unrechtmäßig verarbeitet oder an Dritte weitergegeben werden.
Auch die Verletzung von Betroffenenrechten kann schadensersatzrechtlich relevant sein.
Damit ist allerdings noch nicht gesagt, dass jede verspätete Antwort automatisch zu einer Entschädigung führt.
Datenschutzverstoß und Schaden sind zwei verschiedene Voraussetzungen
Nach der inzwischen ergangenen Rechtsprechung des Europäischen Gerichtshofs setzt Art. 82 DSGVO drei Voraussetzungen voraus:- einen Verstoß gegen die DSGVO,
- einen materiellen oder immateriellen Schaden und
- einen ursächlichen Zusammenhang zwischen Verstoß und Schaden.
Der bloße Verstoß gegen eine Vorschrift der DSGVO genügt für sich genommen nicht.
Umgekehrt darf für immaterielle Schäden keine zusätzliche Erheblichkeitsschwelle verlangt werden.
Entscheidend ist deshalb, ob die betroffene Person tatsächlich einen ersatzfähigen Schaden erlitten hat.4. Warum musste der Anwalt 500 Euro zahlen?
Die Besonderheit des Falls lag nicht nur in der langen Verzögerung.
Die Mandantin hatte vorgetragen, dass sie durch die ausbleibende Auskunft erheblich belastet worden sei. Sie habe Stress und Sorgen im Zusammenhang mit der Regulierung ihrer Ansprüche aus dem Verkehrsunfall empfunden.
Außerdem konnte sie über Monate nicht auf die benötigten Unterlagen zugreifen und ihre Angelegenheit mit dem neuen Rechtsanwalt nicht wie gewünscht voranbringen.
Diesen Vortrag hatte der beklagte Anwalt nicht bestritten.
Das OLG Köln sah deshalb einen immateriellen Schaden als gegeben an. Es berücksichtigte insbesondere die psychische Belastung, die eingeschränkte Kontrolle über die eigenen Daten und die Auswirkungen auf die weitere Bearbeitung der Angelegenheit.
Die zugesprochenen 500 Euro waren damit eine Einzelfallentscheidung und kein pauschaler Tarif für verspätete Auskünfte.
Das Gericht berücksichtigte bei der Höhe der Entschädigung unter anderem auch, dass die Daten nicht an unbefugte Dritte gelangt waren.5. Was bedeutet das Urteil für Unternehmen?
Für Unternehmen lassen sich aus der Entscheidung mehrere praktische Konsequenzen ableiten.
Auskunftsanträge müssen zuverlässig erkannt werden
Ein Antrag nach Art. 15 DSGVO muss nicht ausdrücklich als solcher bezeichnet sein.
Es genügt, wenn aus der Anfrage erkennbar wird, dass die betroffene Person Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangt.
Solche Anfragen können per E-Mail, über ein Kontaktformular oder auf anderem Weg eingehen.
Unternehmen sollten deshalb sicherstellen, dass auch Mitarbeitende außerhalb der Datenschutzabteilung entsprechende Anfragen erkennen und weiterleiten.
Die Bearbeitung muss dokumentiert werden
Es empfiehlt sich, den Eingang des Antrags, die zuständige Person, die Prüfung des Umfangs und den Versand der Antwort nachvollziehbar zu dokumentieren.
Kommt es später zum Streit, kann diese Dokumentation entscheidend sein.
Die Auskunft muss inhaltlich richtig und vollständig sein
Eine fristgerechte, aber unvollständige Antwort kann ebenfalls gegen Art. 15 DSGVO verstoßen.
Unternehmen müssen daher prüfen, welche personenbezogenen Daten verarbeitet werden und welche Informationen nach Art. 15 Abs. 1 DSGVO mitzuteilen sind.
Soweit Art. 15 Abs. 3 DSGVO einschlägig ist, muss außerdem eine Kopie der personenbezogenen Daten zur Verfügung gestellt werden.
Das bedeutet allerdings nicht, dass Betroffene automatisch sämtliche internen Dokumente oder vollständige Akten verlangen können. Entscheidend ist, welche personenbezogenen Daten herauszugeben sind und ob deren verständliche Wiedergabe die Überlassung von Dokumenten oder Auszügen erfordert.Schadensersatzforderungen sollten individuell geprüft werden
Verlangt eine betroffene Person wegen einer verspäteten Auskunft Geld, sollte das Unternehmen nicht allein auf die Höhe der Forderung schauen.
Zu prüfen ist vielmehr, ob tatsächlich ein Verstoß vorliegt, welche Beeinträchtigungen geltend gemacht werden und ob diese durch die Verzögerung verursacht wurden.
Die pauschale Annahme, jede verspätete Auskunft koste 500 Euro, wäre ebenso falsch wie die Behauptung, eine verspätete Auskunft könne niemals Schadensersatz auslösen.
6. Fazit: Die Auskunftsfrist ist ein echtes Haftungsrisiko
Das Urteil des OLG Köln verdeutlicht, dass die fristgerechte Erfüllung von Auskunftsansprüchen keine bloße Formalität ist.
Wer einen Auskunftsantrag über Monate unbearbeitet lässt, riskiert nicht nur datenschutzrechtliche Beanstandungen, sondern unter Umständen auch Schadensersatzforderungen.
Für die Haftung kommt es jedoch auf den konkreten Schaden an. Die Fristüberschreitung allein begründet noch keinen automatischen Anspruch auf 500 Euro oder einen anderen festen Betrag.
Unternehmen sollten deshalb vor allem in klare Zuständigkeiten, eine verlässliche Fristenkontrolle und eine nachvollziehbare Bearbeitung von Betroffenenanfragen investieren.
7. Häufige Fragen
Wie lange hat ein Unternehmen Zeit, einen DSGVO-Auskunftsantrag zu beantworten?
Grundsätzlich einen Monat ab Eingang des Antrags. Bei entsprechender Komplexität oder Anzahl der Anträge ist unter den Voraussetzungen des Art. 12 Abs. 3 DSGVO eine Verlängerung um bis zu zwei weitere Monate möglich.Muss ein Unternehmen bei jeder verspäteten Auskunft 500 Euro zahlen?
Nein. Die Höhe des Schadensersatzes hängt vom Einzelfall ab. Ein ersatzfähiger Schaden und ein ursächlicher Zusammenhang mit dem Datenschutzverstoß müssen vorliegen.Kann auch ein kleiner Betrieb schadensersatzpflichtig sein?
Ja. Die Auskunftspflichten nach Art. 15 DSGVO gelten grundsätzlich unabhängig von der Unternehmensgröße.Muss ein Unternehmen sämtliche Dokumente herausgeben?
Nicht automatisch. Art. 15 DSGVO gewährt Auskunft über personenbezogene Daten und unter den gesetzlichen Voraussetzungen eine Kopie dieser Daten. Ob vollständige Dokumente herauszugeben sind, hängt vom jeweiligen Inhalt und den Umständen ab.Was sollte ein Unternehmen tun, wenn die Monatsfrist nicht eingehalten werden kann?
Es sollte unverzüglich prüfen, ob die gesetzlichen Voraussetzungen für eine Fristverlängerung vorliegen, und die betroffene Person gegebenenfalls innerhalb des ersten Monats unter Angabe der Gründe informieren.Quellen und Rechtsgrundlagen
- OLG Köln, Urteil vom 14. Juli 2022 – 15 U 137/21
- Art. 12 DSGVO – Modalitäten der Ausübung von Betroffenenrechten.
- Art. 15 DSGVO – Auskunftsrecht.
- Art. 82 DSGVO – Haftung und Recht auf Schadensersatz.
- EuGH, Urteil vom 4. Mai 2023 – C-300/21, zu den Voraussetzungen eines Schadensersatzanspruchs nach Art. 82 DSGVO.