Aktuelle bei der Irischen Datenschutzaufsicht eingeleitete Verfahren gegen Facebook und Twitter, könnten dazu führen, dass mehr Licht in die Datensammelpraxis dieser Unternehmen kommt. Gleichzeitig könnte mehr Klarheit geschaffen werden, wann Unternehmen Auskunftsersuchen in speziellen Fällen wegen einem unverhältnismäßigen Aufwand nicht beantworten müssen.
Der Inhalt im Überblick
Unternehmen lehnen konkrete Auskunft ab
Hintergrund der Verfahren sind Beschwerden des an dem University College London tätigen Doktoranden und Forschers Michael Veale, der Auskunftsersuchen nach Art. 15 Datenschutz-Grundverordnung (DSGVO) an Facebook und Twitter gestellt hat. Dabei ging es Veale, der unter anderem an dem Zusammenspiel von datengetriebenen Technologien und Datenschutzrecht forscht, insbesondere um Informationen, die über sein Verhalten im Web außerhalb der großen Plattformen gesammelt werden. Bei Facebook betrifft das vor allem Daten, die über den sog. Facebook-Pixel erhoben werden, bei Twitter ging es um Daten die gespeichert werden, wenn auf Links in Nachrichten geklickt wird, die über den Twitter-eigenen Linkkürzungsdienst t.co eingebunden werden. Beide Unternehmen lehnten eine dahingehende Auskunft ab, da eine solche – wenn überhaupt – nur mit unverhältnismäßig hohem Aufwand möglich sei.
Einschränkung des Auskunftsrechts wegen Unverhältnismäßigkeit?
Das Auskunftsrecht ist das zentrale Recht, welches die DSGVO in Art. 15 den von der Datenverarbeitung betroffenen Personen (also quasi uns allen) gegen den Verantwortlichen einräumt. Transparenz in der Datenverarbeitung ist immerhin einer der wichtigsten Grundsätze der DSGVO und Grundvoraussetzung für effektiven Persönlichkeitsrechtsschutz. Kann der Verantwortliche also die Auskunft mit der Begründung eines unverhältnismäßigen Aufwands verweigern?
Art. 15 DSGVO
Eine ausdrückliche Einschränkung des Auskunftsrechts wegen eines unverhältnismäßig hohen Aufwandes für den Verantwortlichen findet sich in Art. 15 DSGVO als maßgebliche Vorschrift für das Auskunftsrecht nicht.
§ 34 Abs. 1 Nr. 2 Bundesdatenschutzgesetz (BDSG)
Gem. § 34 Abs. 1 Nr. 2 BDSG kann der Verantwortliche die Auskunft im Falle eines unverhältnismäßigen Aufwands ablehnen, allerdings nur wenn zusätzlich weitere Voraussetzungen vorliegen. Eine Ablehnung allein aus Gründen der Unverhältnismäßigkeit ist auch danach nicht möglich.
Erwägungsgrund 63 der DSGVO
Gem. Erwägungsgrund 63 der DSGVO kann der Verantwortliche verlangen, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt. Dies gilt allerdings nur, wenn der Verantwortliche eine große Menge an Informationen über die betroffene Person verarbeitet. Immerhin ein Unterfall der möglichen Ablehnung wegen einem Auskunftsersuchen welches zunächst einen sehr hohen Aufwand beim Verantwortlichen verursachen würde.
Art. 11 Abs. 2 DSGVO
Eine ähnliche spezieller Fall der Unverhältnismäßigkeit findet sich in Art. 11 Abs. 2 DSGVO. Demnach gilt Artikel 15 DSGVO nicht, wenn der Verantwortliche nachweisen kann, dass er den Betroffenen nicht identifizieren kann. Dies bezieht sich sowohl auf die Person des Antragstellers selbst, als auch auf die fehlende Zuordnungsmöglichkeit der den Antragsteller betreffenden Daten.
Analogie zu Art. 14 Abs. 5 lit b DSGVO
Es wird teilweise vertreten, man könne mit einer Analogie zu Art. 14 Abs. 5 lit b DSGVO arbeiten, der ausdrücklich besagt, dass auf eine Information des Betroffenen verzichtet werden kann wenn diese einen unverhältnismäßigen Aufwand erfordert (Härting, Datenschutz-Grundverordnung, Rn. 683/685)
Treu und Glauben
Zumindest nach deutschem Recht soll eine derartige Analogie aber gar nicht notwendig sein, da auch auf die Grundsätze des allg. Schuldrechts und den Grundsatz von Treu und Glauben zurückgegriffen werden könne. Dieser besagt u.a., dass die Parteien eines Rechtsverhältnisses Rücksicht auf die Rechte, Rechtsgüter und Interessen des anderen Teils nehmen müssen. Spätestens mit der Stellung des Auskunftsersuchens wird ein solches Rechtsverhältnis zwischen Antragsteller und Verantwortlichem begründet. Demnach könne sich auch der Verantwortliche im Einzelfall auf einen unverhältnismäßig hohen Aufwand berufen (vgl. Gola, Datenschutzgrundverordnung 2. Auflage Rn. 38).
Verweigerung möglich aber strenger Maßstab und Einzelfallprüfung
Es kann mit guten Argumenten vertreten werden, dass es in Einzelfällen für Unternehmen möglich sein wird, ein Auskunftsersuchen wegen eines unverhältnismäßigen Aufwands zu verweigern. Dies wird aber nur in engen Grenzen und mit einer ausführlichen Begründung im Einzelfall möglich sein. Dabei wird der vertretbare Aufwand für Unternehmen (z.B. Kosten, Zeit und Arbeitskräfte) mit dem Schutzbedarf des Betroffenen (z.B. Sensibilität der Daten) ansteigen. Im einleitenden Beispiel von Michael Veale geht es laut diesem übrigens potentiell um sehr sensible Daten, da er von Facebook wissen möchte, ob das Unternehmen eine Web-Historie über ihn speichert, aus der seine Sexualität und medizinische Informationen hervorgehen.
