In welcher Frist muss die Auskunft nach Art. 15 DSGVO erteilt werden?

Arbeitsgericht Duisburg verlangt stets die unverzügliche Erteilung einer Auskunft

Das Auskunftsrecht nach Art. 15 DSGVO ist für Betroffene wesentlich, um sich über die Rechtmäßigkeit der Verarbeitung vergewissern zu können. Unbestreitbar sollte aber auch bleiben, dass die Beantwortung des Auskunftsrechts für Unternehmen stets ein gewisses Risiko bedeutet. Das liegt unter anderem daran, dass bis heute die Rechtsprechung noch daran arbeitet, der Vorschrift die nötigen Konturen zu geben.

Bis zu einer endgültigen Klärung sämtlicher Fragen gleicht die Antwort auf ein Auskunftsbegehren der berühmten Katze in der Box mit einem instabilen Atomkern (Schrödingers Katze). Die Antwort kann zugleich richtig und zugleich falsch sein. 

So wurde beispielsweise bis zuletzt vor allem in der Literatur die Ansicht vertreten, für die Beantwortung eines Auskunftsbegehrens habe man mindestens einen Monat Zeit. Hierzu verwies man auf die Fristenregelung in Art. 12 Abs. 3 DSGVO.  Die DSK schreibt hierzu in ihrem Kurzpapier Nr. 6 lediglich

Auskunftserteilungen müssen gemäß Art. 12 Abs. 3 DS-GVO unverzüglich erfolgen, spätestens aber innerhalb eines Monats; nur in begründeten Ausnahmefällen kann die Monatsfrist überschritten werden, worüber die betroffene Person zu informieren ist (Art. 12 Abs. 3 Satz 3 DS-GVO). Der Verantwortliche muss (vorbereitend) geeignete organisatorische Maßnahmen treffen, damit die betroffene Person eine beantragte Auskunft zeitnah und in verständlicher Form erhalten kann (Art. 12 Abs. 1 Satz 1 und Art. 5 Abs. 2 DS-GVO).

Hilfreich sind diese Ausführungen nicht, denn sie treffen keine Aussage zum Verhältnis zwischen der Anforderung "unverzüglich" und "spätestens innerhalb eines Monats". Die DSK wiederholt damit lediglich sinngemäß den Wortlaut von Art. 12 Abs. 3 S. 1 DSGVO und bietet damit für Unternehmen keine Hilfestellung bei der Beantwortung der Frage, wie die Frist zur Beantwortung eines Auskunftsbegehrens berechnet wird. Daraus erwächst das weitere Risiko, wegen Fehlern bei der Auskunftserteilung auf Schadensersatz nach Art. 82 DSGVO in Anspruch genommen zu werden. Entsprechende Verfahren häufen sich, wie der Beitrag "Schadensersatz nach Art. 82 DSGVO wegen Auskunftsfehlern" (Franck, ZD 2021, 680 ff.) bereits im Jahr 2021 gut aufzeigt. 

Arbeitsgericht Duisburg (5 Ca 877/23) verschärft die Anforderungen zur Frist einer Auskunftserteilung

Das Arbeitsgericht Duisburg hat in einer aktuell veröffentlichten Entscheidung vom 3.11.2023 (5 Ca 877/23) erneut klargestellt, dass die in Art. 12 Abs. 3 S. 1 DSGVO benannte Monatsfrist gerade nicht die Regel sein soll, sondern als Ausnahme zu verstehen ist. Anderenfalls hätte die Anforderung "unverzüglich" keinen eigenen Anwendungsbereich. Dies hatte das Arbeitsgericht Duisburg bereits zu Beginn des Jahres 2023 in einem anderen Verfahren so entschieden (ArbG Duisburg, Urteil vom 23.03.2023 - 3 Ca 44/23). 

Das Arbeitsgericht Duisburg (5 Ca 877/23) führt in seiner Entscheidung zu den Anforderungen aus Art. 12 Abs. 3 S. 1 DSGVO wörtlich wie folgt aus:

Die Vorgabe in Art 12 III DSGVO bedeutet, dass der Verantwortliche alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln muss. Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern" zu verstehen (Franck in Gola/Heckmann. DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich" weder „sofort" bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19, beck- online).

Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen.

Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, liegen nämlich nicht vor.

Auswirkungen auf die Praxis

Damit stellt das Arbeitsgericht Duisburg noch einmal klar, wie die Frist zur Beantwortung von Auskunftsbegehren zu berechnen ist. Eine standardmäßige Beantwortung nur innerhalb der Monatsfrist wird der Anforderung an eine unverzügliche Reaktion danach nicht gerecht. Vielmehr muss ein Unternehmen in jedem Einzelfall prüfen, ob es in der Lage ist, dem Auskunftsersuchen unverzüglich nachzukommen. Ist es das nicht, muss es sich - so die Schlussfolgerung aus der Entscheidung - gleichwohl unverzüglich melden und darauf hinweisen, dass es für die Beantwortung mehr Zeit benötigt. Sich gar nicht melden ist bereits aus taktsichen Gründen nicht sonderlich schlau, wie die zahlreichen Schadenersatzverfahren aus der verlinkten Übersicht von Kevin Leibold zeigen. Dem nicht beantworteten Auskunftsverlangen folgt die Schadensersatzforderung mittlerweile auf dem Fuße und führt nicht selten zu einer gerichtlichen Feststellung eines mindestens dreistelligen Schadensersatzbetrages.  So natürlich auch in dem vorliegenden Verfahren. Das Arbeitsgericht Duisburg hat das Unternehmen am Ende zur Zahlung von 750,00 EUR Schadensersatz nach Art. 82 DSGVO verurteilt.  

Aufgrund der überragenden Bedeutung des Auskunftsrecht für den Betroffenen und den erheblichen Haftungsrisiken für die Unternehmen, sollten Unternehmen bereits im Vorfeld einen Prozess implementieren, der das gesamten Verfahren von dem Auskunftsersuchen bis hin zur finalen Auskunftserteilung abbildet. Hierdurch kann gewährleistet werden, dass auch bei zahlreichen zeitgleich eingehender Auskunftsersuchen, alle innerhalb der gesetzlich vorgesehenen Fristen ordnungsgemäß beantwortet werden können. Auch kann so sichergestellt werden, dass bei der Auskunftserteilung nichts wesentliches vergessen wird. 

Sowohl das Auskunftsersuchen als auch die Erteilung der Auskunft sollten schriftlich festgehalten und dokumentiert werden. Nur so kann dokumentiert werden, wenn ein Betroffener in kurzen Abständen zahlreiche Auskunftsersuchen stellt, bei denen sich der Verdacht eines missbräuchlichen Vorgehens aufdrängt. Zudem sollte jeder Schritt bis zur Auskunftserteilung genau dokumentiert werden, also zum Beispiel die Gründe für einen Fristverlängerungsantrag oder die Gründe für das Anfordern weiterer Informationen zur Identifizierung der anfragenden Person. Nur so lässt sich im Streitfall darlegen, dass diese Maßnahmen erforderlich waren und gerade nicht willkürlich erfolgten. Das gilt dann erst Recht für die Gründe einer Ablehnung der Auskunftserteilung. Hier empfiehlt es sich, die Gründe so detailliert wie möglich zu dokumentieren, um einem Gericht oder einer Aufsichtsbehörde die Rechtmäßigkeit der Ablehnung besser einschätzen zu können.

Mehr Beiträge zum Datenschutzrecht:

• 10.000 EUR wegen verspäteter Auskunft nach Art. 15 DSGVO
• Drohen neue DSGVO-Abmahnungen wegen Klaviyo?
• Google Fonts: Worauf Agenturen bei der Einbindung bei ihren Kunden achten sollten
• Haftung des Geschäftsführers für einen DSGVO-Verstoß
• Datenschutzrechtliche Anforderungen an die Veröffentlichung von Mitarbeiterfotos im Internet
• Der DSGVO-Schadenersatz nach Art. 82 DSGVO
• Das datenschutzrechtliche Recht auf Auskunft - Art. 15 DSGVO