Auskunftsrecht nach Art. 15 im Notariat (Symbolbild)

Auskunftsrecht nach Art. 15 DSGVO im Notariat – Überlegungen zur Umsetzung

Langsam nimmt das Datenschutzrecht im Bereich der Betroffenenrechte nach DSGVO (Datenschutzgrundverordnung) Fahrt auf: Insbesondere das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO, bzw. das Recht auf Erhalt einer Kopie der Daten nach Art. 15 Abs. 3 DSGVO war bereits Gegenstand mehrerer Gerichtsurteile. Der Umfang der herauszugebenden Daten wurde dabei jedoch nicht einheitlich festgelegt: Die unterschiedlichen Gerichte gehen von einer sehr weiten Auslegung des Rechts mit weitem Umfang der auszugebenden Daten über eine abwägende Anwendung bis hin zu strengen Maßstäben, die ein Auskunftsrecht verneinen, aus, eine höchstrichterliche Rechtsprechung steht noch aus.1

Nun lässt in diesem Rahmen ein Urteil im Bereich des Schadensersatz nach Art. 82 DSGVO aufhorchen und fordert auf, sich mit dem eigenen Datenschutzmanagement im Bereich der Betroffenenrechte zu befassen:

Aufgrund einer verspäteten und unvollständigen Auskunftserteilung nach Art. 15 DSGVO verurteilte das ArbG Düsseldorf einen Arbeitgeber zur Zahlung eines immateriellen Schadensersatzes in Höhe von 5.000 € an seinen ehemaligen Arbeitnehmer.2 Prägnant an diesem Urteil ist, dass das Gericht von einem weiten Schadensbegriff ausgeht, welches als Schaden neben der Diskriminierung, dem Verlust der Vertraulichkeit, oder der Rufschädigung auch den Verlust der Rechte und Freiheiten der Person, sowie den Kontrollverlust des Betroffenen über seine Daten annimmt3. Daneben führt das Gericht zur Bemessungshöhe des Schadensersatzes folgenden interessanten Ansatz aus: „Verstöße müssen effektiv sanktioniert werden, damit die DSGVO wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird“4. Damit wählte das Gericht einen Weg, der im Anschluss von einigen Gerichten im Bereich Schadensersatz nach Art. 82 DSGVO übernommen wurde: Schadensersatz mit Abschreckungsfunktion5.

Angesichts entsprechender Entwicklungen im Bereich Schadensersatz nach Art. 82 DSGVO und der uneinheitlichen Rechtsprechung zur Weite des Auskunftsrechts in Art. 15 DSGVO sollte man sich zeitig über die Vorgehensweise bei einem Auskunftsersuchen im Notariat Gedanken machen. Bestenfalls ist die Herangehensweise bereits im Rahmen des notariellen Datenschutz-Managements erfolgt und wegen Art. 24 DSGVO dokumentiert.

1. Zu überlegen sind bei einem Auskunftsersuchen folgende Punkte:

2. Welche Vorgaben enthalten die Datenschutzvorschriften zur Erfüllung des Auskunftsbegehrens?

3. Sprechen rechtliche Vorschriften gegen eine Auskunftserteilung?

4. Ist es technisch möglich, die Betroffenenrechte umzusetzen?

5. Sind die organisatorischen Schritte klar, d.h. wissen die Mitarbeiterinnen und Mitarbeiter, was zu tun ist?

Rechtliche Vorgaben nach DSGVO

Allgemeine formelle Vorgaben zur Umsetzung der Betroffenenrechte und somit auch für das Auskunftsrecht finden sich in Art. 12 DSGVO: Grundsätzlich ist einem Auskunftsbegehren innerhalb eines Monats nachzukommen und zu begründen, unter bestimmten Voraussetzungen ist eine Fristverlängerung möglich. Dabei ist die Auskunft grundsätzlich unentgeltlich, unter bestimmten Voraussetzungen kann ein Entgelt verlangt werden. Ist die Anfrage elektronisch erfolgt, kann sie auch elektronisch beantwortet werden. Eine genauere Analyse der Normen ist notwendig.

juris PartnerModul Notare jetzt 4 Wochen gratis testen

Rechtliche Grenzen und Besonderheiten

Im Bereich datenschutzrechtliches Auskunftsrecht im Notariat bietet es sich an, hinsichtlich der Grenzen des Auskunftsrechts zunächst nach Beteiligten im Sinne des § 18 BNotO (Bundesnotarordnung) und nach Nichtbeteiligten zu unterscheiden.

Einem Auskunftsbegehren eines Nichtbeteiligten bei einem Notariatsvorgang, z.B. einer Beurkundung, kann aufgrund der beruflichen Schweigepflicht nach § 18 BNotO nicht nachgekommen werden. Dies ist auch datenschutzrechtlich anerkannt und ergibt sich aus den meisten Länderdatenschutzgesetzen6 (Notarinnen und Notare unterfallen als „öffentliche Stelle“ den Datenschutzgesetzen der Länder) bzw. aus § 29 Abs. 1 Satz 2 BDSG (Bundesdatenschutzgesetz), sowie darüber hinaus aus § 18 BNotO (Bundesnotarordnung). So kann eine Person Beteiligter im Sinne des § 18 BNotO sein (z.B. als Käufer in einem Grundstückkaufvertrag) und seinem Auskunftsbegehren ist in dieser Hinsicht nachzukommen; ist sie jedoch gleichzeitigt z.B. als Erbe in einem im Notariat beurkundeten Testaments erfasst, so wäre eine diesbezügliche Auskunft als Verstoß gegen die Verschwiegenheitspflicht der Notarin/des Notars zu sehen. Von einer Begründungspflicht bei einer Ablehnung wird in diesen Fällen nach den Landesdatenschutzgesetzen abgesehen7, auf eine Beschwerdemöglichkeit bei der Landesdatenschutzaufsichtsbehörde ist nach vielen Landesdatenschutzgesetzen bzw. nach Art. 12 Abs. 4 DSGVO hinzuweisen, neben dem Hinweis, einen gerichtlichen Rechtsbehelf einlegen zu können (Art. 12 Abs. 4 DSGVO). Viele Landesdatenschutzgesetze sehen vor, dass nach Antrag des Betroffenen u.U. eine Auskunft gegenüber der Landesdatenschutzaufsicht zu erfolgen hat8. Es bietet sich also an, sich genauer mit den anzuwendenden Landesnormen auseinander zu setzen.

Unterfällt das Auskunftsbegehren nicht der notariellen Schweigepflicht, so kommen u. U. folgende Grenzen oder Beschränkungen in Betracht:

  • bei offenkundig unbegründeten oder sich exzessiv wiederholenden Anträgen kann von einer Auskunft abgesehen werden, Art. 12 Abs. 5 DSGVO;
  • das Recht auf Erhalt einer Kopie darf gemäß Art. 15 Abs. 4 DSGVO nicht die Rechte und Freiheiten anderer Personen beeinträchtigen;
  • generell Erwägungsgrund 63 Satz 5 zur DSGVO: Das Recht auf Auskunft sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen;
  • § 34 BDSG, bzw. ggfs. das jeweilige Landesdatenschutzgesetz: keine Auskunftspflicht, wenn die personenbezogenen Daten nur noch aufgrund von Aufbewahrungspflichten oder aus Gründen der Datensicherheit oder Datenschutzkontrolle aufbewahrt werden und die Auskunft einen verhältnismäßig hohen Aufwand erfordert, sowie die Verarbeitung dieser Daten zu anderen Zwecken durch die technischen und organisatorischen Maßnahmen ausgeschlossen ist;
  • die jeweiligen Vorschriften in den Landesdatenschutzgesetzen enthalten darüber hinaus weitere mögliche Beschränkungen oder einen Ausschluss des Auskunftsrechts mit formellen Vorgaben bei der Beantwortung des Begehrens9.

Technische Möglichkeit

Zur technischen Möglichkeit, einem Auskunftsersuchen nachzukommen, bieten sich Verfahren an, z.B. über Abfragen in der unterstützenden Notariatssoftware die Daten aufzubereiten. Vielleicht haben die Hersteller bereits entsprechende Tools eingebaut? Mittels einer simplen Namenssuche kann man schon die bestehenden Beauftragungen ermitteln, jedoch kann man bereits hier an rechtliche Grenzen hinsichtlich der Beachtung der Verschwiegenheitspflicht kommen, so dass zusätzliche technische und organisatorische Maßnahmen zu ergreifen sind.

Organisatorische Maßnahmen

Angesichts der bisherig angerissenen Themen bietet sich die Erfassung der notwendig vorzunehmenden Schritte in einer Verfahrensanleitung oder in einer Prozessdokumentation an. Folgende Überlegungen sollten eine Rolle spielen:

Eingang der Anfrage

Die Anfrage kommt herein, entweder per Post, per Email oder direkt am Telefon. Wie ist zu verfahren? Insbesondere am Telefon, wenn die Person nicht direkt zugeordnet werden kann oder man weiß, dass die Geheimhaltungspflicht jede Auskunft verbietet, insbesondere könnte auch ein Hinweis darauf gefährlich werden. Die Auskunft ist formfrei (vgl. Art. 12 Abs. 1 Satz 2 DSGVO) jedoch sollte man im Vorhinein mit den Mitarbeiterinnen und Mitarbeitern klären, wie bereits am Telefon zu verfahren ist.

Ist die Identität des Anfragenden unklar, sind geeignete Maßnahmen zur Authentifizierung unter Berücksichtigung des Datenschutzes sowie der Geheimhaltungspflicht zu treffen. Ist es die betroffene Person selbst, die eine Datenauskunft erhalten will oder ist es ein Dritter? Kann sich der Dritte als Vertreter des Betroffenen gerade in dieser Sache entsprechend legitimieren?

Ist es notwendig, den Anfragenden nochmal um eine Konkretisierung des Antrags zu bitten?

Es ist weiterhin zu klären und zu dokumentieren, wer die Anfrage zu bearbeiten hat, welche Personen involviert werden (Notarin/Notar, Datenschutzbeauftrage/r).

Inhalt, Umfang der Auskunft

Schwierig wird es bei der Bestimmung des Inhalts bzw. Umfangs der Auskunft bzw. der Kopie der Daten nach Art. 15 Abs. 3 DSGVO, siehe die oben angerissene Rechtsprechung: Grundlage ist der Informationskatalog nach Art. 12 DSGVO, der bei der Auskunft anzugeben ist, unter Berücksichtigung der oben genannten rechtlichen Grenzen. Es empfiehlt sich, einen Inhaltskatalog zum Umfang der Auskunft zu erstellen unter Berücksichtigung möglicher Anfrageinhalte.

Form und Frist der Auskunft

Die Auskunft kann gemäß Art. 12 Abs. 2 Satz DSGVO in schriftlicher Form oder in anderer Form, gegebenenfalls auch elektronisch erfolgen. Bei elektronischer Übermittlung sind geeignete Sicherungsmechanismen zu beachten. Verlangt die betroffene Person eine mündliche Auskunft, so kann dies erfolgen, sofern die Identität der Person auch anderweitig nachgewiesen wurde, vgl. Art. 12 Abs. 1 Satz 3 DSGVO. Nach Art. 12 Abs. 1 Satz 1 DSGVO ist der Antragssteller einen Monat nach Eingang des Antrages zu unterrichten, Negativauskünfte sind zu begründen, diese Pflicht fällt bei sonstiger Verletzung des Berufsgeheimnisses weg, siehe oben.

Fazit

Die Überlegungen an die Vorgehensweise bei Auskunftsersuchen nach Art. 15 DSGVO sind im Notariat naturgemäß nicht so komplex wie z.B. bei einem Social-Media-Diensteanbieter. Frühzeitiges Erfassen und Dokumentieren der Vorgehensweise beim Auskunftsersuchen zahlt sich jedoch aus, um insbesondere die rechtlichen und organisatorischen Stolpersteine zu erkennen und im Blick zu haben.

Fußnoten

1 eine klare grafische Übersicht der bisherigen Rechtsprechung findet sich bei Piltz/Häntschel/zur Weihen, DSB 2020, S. 243 f.
2 ArbG Düsseldorf, Urteil v. 5.3.2020 – 9 Ca 6557/18, abrufbar z.B.bei juris.
3 ArbG Düsseldorf, a.a.O., bei juris Rn. 102.
4 ArbG Düsseldorf, a.a.O., bei juris Rn. 104.
5 vgl. hierzu die Zusammenstellung von Wybitul in https://www.cr-online.de/blog/2020/10/24/neue-urteile-strafschadensersatz-wegen-dsgvo-verstoessen/.
6 vgl. nur. § 9 Abs. 1 iVm. 8 Abs. 1 Nr. 4 LDSG BW; Art. 10 Abs. 2 Nr. 3 BayDSG oder § 18 Abs. 5 Nr. 3 LDSG Sachsen.
7 vgl. nur § 9 Abs. 4 LDSG BW.
8 vgl. nur § 9 Abs. 5 LDSG BW.
9 vgl. nur § 18 Abs. 5 und 6 LDSG Sachsen.