Das Amtsgericht Lehrte hat in seinem Beschluss vom 03.02.2021 (Az.: 9 C 139/20) nochmal bestätigt, dass die DSGVO eine Pflicht zur Negativauskunft vorsieht. Welcher Sachverhalt dahinter steckt und was das Amtsgericht zur Negativauskunft in seinem Beschluss angeführt hat, lesen Sie hier.
Der Inhalt im Überblick
Welcher Sachverhalt verbirgt sich hinter dem Beschluss?
Eine Firma (die Beklagte) hat auf ihrer Internetseite Leistungen zu Datenvernichtungen angeboten. Die Klägerin behauptet, dass ein Mitarbeiter der Beklagten auf eBay Festplatten zum Verkauf angeboten hat. Diese sollen personenbezogene Daten der Klägerin, einer TV-Produzentin, enthalten haben.
Daraufhin forderte die Klägerin die Beklagte mit anwaltlichem Schreiben auf, der Klägerin Auskünfte über die Verarbeitung personenbezogener Daten zu erteilen. Die Beklagte blieb untätig und erteilte keinerlei Auskünfte. Erst nach Rechtshängigkeit der Klage erklärte die Beklagte, dass ihr von Kunden keinerlei Festplatten (demnach auch keine darauf gespeicherten Daten) zur Vernichtung zugeführt worden seien.
Die Parteien haben den Rechtsstreit übereinstimmend für erledigt erklärt. Das Gericht legte der Beklagte die Kosten des Verfahrens auf.
Negativauskunft: Es sind keine Daten vorhanden.
Das Gericht hat in seinem Beschluss ausgeführt, dass die Klägerin gegen den Beklagten einen Anspruch auf Negativauskunft gemäß Art. 15 Absatz 1 DSGVO hat. Die Negativauskunft wurde der Klägerin erst nach Rechtshängigkeit der Klage erteilt.
„Art. 15 Abs.1 Hs.1, 2 enthält zunächst einen Anspruch der betroffenen Person gegen den Verantwortlichen, ihm zu bestätigen, ob ihn betreffende personenbezogene Daten verarbeitet werden. Hieraus folgt, dass Art.15 wie auch §§ 19, 34 BDSG aF (BDSG2003 [aK] § 34 Rn.14 sowie -> BDSG 2003 [aK] § 19 Rn.18) einen Anspruch auf Negativauskunft gewährt, denn werden keine Daten verarbeitet, so ist auch dies zu bestätigen (BeckOKDatenschutzR/Schmidt-Wüdy, 34. Ed.1.11.2020, DS-GVO Art.15 Rn. 50).“
Das Gericht verdeutlichte zudem, dass im konkreten Fall auch der Art. 12 Absatz 5 Satz 2 DSGVO nichts daran zu ändern vermag.
Demnach kann der Verantwortliche bei offenkundig unbegründeten oder insbesondere im Fall von häufiger Wiederholung exzessiver Anträge einer Person, sich weigern, aufgrund des Antrags tätig zu werden.
Nach Ansicht des Gerichts verfängt die Norm im vorliegenden Fall nicht, da die Beklagte nicht dargelegt habe, warum der Klägerin ein Anspruch auf Erteilung einer Negativauskunft nicht zustehen solle. Vielmehr wurde der Klägerin die Mitteilung herangetragen, dass über eBay Festplatten zum Verkauf angeboten worden sind, auf welche personenbezogene Daten der Klägerin gespeichert gewesen sind.
Das Gericht führte aus:
„Weiterhin ist unstreitig, dass der Klägerin zugetragen worden ist, bei dem Anbieter handele es sich um den namentlich benannten Angestellten der Beklagten. Aus der allein hier maßgebenden Sicht der Klägerin hatte diese daher Anlass, die erbetenen Auskünfte von der Beklagten zu verlangen. In diesem Zusammenhang sei die Beklagte darauf hingewiesen, dass eine einfache (zutreffende) Negativauskunft als Antwort auf das Auskunftsverlangen vom 8. Januar 2020 völlig ausgereicht hätte, um ihre Auskunftspflicht vollständig zu erfüllen.“
Bedeutung des Beschlusses
Der Beschluss zeigt erneut auf, dass Art. 15 DSGVO auch einen Anspruch auf Negativauskunft gewährt. Mit dieser Auffassung hat sich das Amtsgericht Lehrte der überwiegenden Ansicht angeschlossen. Denn auch die Aufsichtsbehörden vertreten die Auffassung, dass Art. 15 DSGVO einen Anspruch auf Negativauskunft gewährt. So zum Beispiel das Bayrische Landesamt für Datenschutzaufsicht:
„Zur Erteilung einer Auskunft ist grundsätzlich jeder Verantwortliche verpflichtet, bei dem ein entsprechendes Auskunftsbegehren geltend gemacht worden ist. Dies gilt auch für den Fall, dass bei der verantwortlichen Stelle keine personenbezogenen Daten von demjenigen gespeichert sind, der die Auskunft begehrt. In diesem Fall ist vielmehr eine so genannte Negativauskunft zu erteilen, d.h. die Information zu geben, dass keine personenbezogenen Daten zu der betroffenen Person gespeichert sind.“
Offenkundig unbegründete oder exzessive Anträge
Es ist jedoch zu beachten, dass sich der Verantwortliche nach Art. 12 Absatz 5 Satz 2 DSGVO weigern kann, bei unbegründeten und exzessiven Anträgen, tätig zu werden. Hierbei ist zu berücksichtigen, dass der Verantwortliche gemäß Art. 12 Absatz 5 Satz 3 DSGVO den Nachweis dafür zu erbringen hat, dass der Antrag einen unbegründeten oder exzessiven Charakter hat.
Charakteristisch für ein exzessives Auskunftsersuchen ist, dass der Verantwortliche wiederholt mit einem Auskunftsersuchen „taktiert“ wird. Hierbei spielt auch der zeitliche Aspekt eine große Rolle. Der bayrische Landesbeauftragte für den Datenschutz hat in einem Arbeitspapier erläutert, wann ein Antrag „exzessiv“ ist:
„Anträge auf Auskunft (Art. 15 Abs. 1 und 3 DSGVO) können durchaus mehrmals gestellt werden, ohne dass dies als exzessiv zu werten ist. Verarbeitungen hinterlassen auch in Abhängigkeit von fachgesetzlichen Regelungen nur in zeitlich begrenztem Umfang Spuren, die Gegenstand einer Auskunft sein können, und es muss der betroffenen Person unbenommen sein, mittels Staffelung von Auskunftsanträgen ein „Längsschnittbild“ der Verarbeitungen ihrer personenbezogenen Daten zu erhalten.“
„(Häufig) wiederholte Auskunftsanträge können aber als exzessiv erscheinen, wenn der beim Verantwortlichen vorhandene Datenbestand ersichtlich nicht Gegenstand einer anderen Verarbeitung als einer Speicherung ist und die betroffene Person dies etwa durch eine zurückliegende Auskunft auch weiß. Gleiches gilt, wenn im Zusammenhang mit einem wiederholten Auskunftsantrag erkennbar wird, dass es der betroffenen Person lediglich darum geht, Ressourcen des Verantwortlichen zu verbrauchen, oder zumal im Hinblick auf einen Konflikt nicht datenschutzrechtlicher Art Sanktionswirkungen zu erreichen.“
„Wird ein Auskunftsantrag nicht näher spezifiziert, ist er nicht bereits aus diesem Grund als exzessiv zu werten. Die in Erwägungsgrund 63 Satz 7 DSGVO angesprochene „Konkretisierungsobliegenheit“ hat im Normtext von Art. 12 und Art. 15 DSGVO keinen Niederschlag gefunden.“
Zu beachten gilt:
Bei einem geltend gemachten Auskunftsanspruch, sollte man grundsätzlich tätig werden. In jedem Fall sollte eine Auskunft erteilt werden. Die Erteilung einer Negativauskunft dürfte in der Regel auch nicht mit einem hohen Aufwand verbunden sein. Ein Nichttätigwerden bei der Geltendmachung eines solchen Anspruchs kann zu einer Datenschutzverletzung führen.
Hier haben wir bereits dargestellt, wie man grundsätzlich mit einem Auskunftsersuchen umgehen sollte.
