„Ein Monat“ ist nicht „unverzüglich“

Die Rechte von betroffenen Personen sind zentrale Regelungsaspekte der Datenschutz-Grundverordnung (DSGVO). Eines der wichtigsten und am häufigsten genutzten Rechte ist das Auskunftsrecht: Jede betroffene Person kann von dem für die Verarbeitung Verantwortlichen Auskunft darüber verlangen, welche personenbezogenen Daten über sie gespeichert oder allgemein verarbeitet wer-den. Unternehmen sind verpflichtet, auf Auskunftsanfragen zu reagieren. Ggf. kann der Betroffene im Anschluss das Recht auf Berichtigung oder Löschung geltend machen.

In jedem Fall muss die betroffene Person innerhalb einer bestimmten Frist eine Antwort erhalten. Das Auskunftsersuchen umfasst alle über die betroffene Person gespeicherten Daten einschließlich der Metadaten. Dem Betroffenen ist Auskunft über Art, Inhalt und Zweck der gespeicherten Daten zu erteilen. Darüber hinaus hat der Verantwortliche über den Zweck der Verarbeitung, die Kategorien der verarbeiteten personenbezogenen Daten, die Speicherdauer sowie über das Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung der personenbezogenen Daten zu informieren. Das Recht ist in Art. 15 DSGVO konstituiert, zu berücksichtigen sind auch die Rahmenbedingungen des Art. 12 DSGVO.

Welche Frist bei der Bearbeitung eines Betroffenenanliegens zu beachten ist, regelt Art. 12 Abs. 3 DSGVO nicht eindeutig. Demnach hat der Verantwortliche unverzüglich, d. h. ohne schuldhaftes Zögern (analog § 121 BGB), zu antworten, unabhängig davon, ob es sich um eine negative oder positive Auskunft handelt, jedenfalls innerhalb eines Monats. Bei der genannten Monatsfrist handelt es sich um eine Höchstfrist, die ab Eingang des Antrags beginnt. Diese Frist kann um zwei Monate verlängert werden, wenn es aufgrund der Komplexität erforderlich ist.

Die Frist von einem Monat ist vielen, die sich mit dem Thema Datenschutz befassen, bewusst, nicht aber das „unverzügliche“ Handeln. In der Praxis wird häufig zunächst eine kurze Mitteilung an die betroffene Person gesandt, z. B., dass man den Antrag zur Kenntnis genommen habe und Zeit für die Recherche benötige. Kurz vor Ablauf der Monatsfrist erhält der Betroffene dann die Auskunft mit den gewünschten Informationen.

Viel Beachtung fand daher ein Urteil des Arbeitsgerichts Duisburg, das dem Kläger immateriellen Schadenersatz zusprach, weil die unverzügliche Erteilung der Auskunft unterblieben war. Was war geschehen?

Der Kläger begehrte Auskunft über Bewerbungsunterlagen und die darin enthaltenen personenbezogenen Daten. Seine Bewerbung datierte vom 14. März 2017. Der Auskunftsanspruch wurde sechs Jahre später am 18. Mai 2023 geltend gemacht, wobei dem Verantwortlichen eine Frist zur Beantwortung bis zum 2. Juni 2023 gesetzt wurde. Die Auskunft wurde am 5. Juni 2023 erteilt. Obwohl die Auskunft innerhalb von 19 Tagen nach Eingang des Antrags erteilt wurde, war dies nach Ansicht des Gerichts nicht rechtzeitig, und es lagen keine besonderen Umstände vor, die diese Bearbeitungszeit und diesen Aufwand gerechtfertigt hätten (Az. 5 Ca 877/23).

Dem Betroffenen wurde Schadensersatz in Höhe von 750 EUR zugesprochen, weil er einen temporären Kontrollverlust bezüglich seiner personenbezogenen Daten erlitten hat. Das heißt, ein Schaden liegt vor, wenn eine Person einen Kontrollverlust erleidet, auch wenn dieser nicht besonders groß ist. Eine „Bagatellschwelle“ kennt die DSGVO nicht.

Das Gericht hat mit seiner Entscheidung klargestellt, dass die in Art. 12 Abs. 3 DSGVO genannte Monatsfrist gerade nicht die Regel sein soll, sondern als Ausnahme zu verstehen ist. Es bleibt zu hoffen, dass dies eine Einzelfallentscheidung ist, der sich keine weiteren Gerichte oder Behörden anschließen. Personen, die eine Auskunft eventuell gar nicht wirklich benötigen, sondern ihr Recht als Hebel nutzen wollen, um Unternehmen (aus welchen Gründen auch immer) zu ärgern, erhalten durch dieses Urteil Munition.

Die Begeisterung der Unternehmen hält sich in Grenzen, wenn sie ein Auskunftsersuchen erhalten, denn es ist komplizierter, als es auf den ersten Blick scheint und die Bearbeitung ist mit einem erheblichen internen Aufwand verbunden.