Wann lohnt sich eine Anforderung der eigenen Daten nach Art. 15 DSGVO?

Die meisten denken nicht viel darüber nach, welche Daten wie verwendet werden. Doch in manchen Fällen sollte man sich unbedingt einen Überblick über die gespeicherten Daten durch Dritte verschaffen. Manchmal können diese sogar bei der Anspruchsbegründung von materiellem Schadensersatz- oder Schmerzensgeldansprüchen behilflich sein. Ihre Daten sind also auch für Sie bares Geld wert. Die drei wahrscheinlich herausragenden Felder, in denen Sie Ihren Auskunftsanspruch immer nutzen sollten, sind:

1. Bei der Frage, ob für Sie ein negativer SCHUFA-Eintrag besteht. Sollte dies der Fall sein, können Sie an der Datengrundlage feststellen, ob zumindest Ihre Daten richtig gespeichert worden sind, und nicht etwa eine falsche Datengrundlage zu einer schlechten Risikobewertung führt.

2. Wenn ein Arbeitsverhältnis beendet worden ist, haben Sie unter Umständen ein Interesse daran, zu erfahren was der Arbeitgeber über Sie gespeichert hat. Gerade wenn beispielsweise die Frage nach einer rechtswidrigen Kündigung im Raum steht, können Sie auch über die ermittelten Daten eine Verteidigungsstrategie entwerfen.

3. Wenn Sie einen Schmerzensgeldanspruch gegen einen behandelnden Arzt oder gegen einen Dritten geltend machen wollen, ist das Krankenhaus grundsätzlich nach Art. 15 Abs. 3 DSGVO zur kostenlosen Herausgabe Ihrer Patientenakte verpflichtet. 

Grundsätzlich sollten Sie sich immer vor Augen rufen: Selbst wenn Ihre Daten durch Dritte verarbeitet werden sollten, gehören Sie immer noch Ihnen. Sie brauchen also keinen spezifischen Grund, um eine Auskunft zu fordern. Selbst wenn dies „nur“ Ihrem Interesse dienen soll, um zu erfahren, was insgesamt mit Ihren Daten passiert, stellt dies ein legitimen Auskunftsverlangen dar.

Wann habe Sie einen Anspruch nach Art. 15 DSGVO?

Unter folgenden Voraussetzungen haben Sie grundsätzlich einen Anspruch darauf, zu erfahren, welche Daten von Ihnen verarbeitet werden. Art. 15 Abs. 1 DSGVO formuliert hierfür:

„Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen“

Daraus folgt:

1. Betroffener
   Sie müssen betroffene Person sein. Dies bedeutet, dass Sie davon ausgehen, dass über Sie Daten erhoben/ verarbeitet worden sind.
2. Verantwortlicher
   Der Anspruchsgegner muss auch „Verantwortlicher“ im Sinne der DSGVO sein. Dies wird grundsätzlich definiert als „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Dies ist nicht, wie man auf den ersten Blick denken könnte, der Datenschutzbeauftragte, sondern vielmehr die für Entscheidungen Verantwortlichen eines Unternehmens oder einer Behörde, wie beispielsweise ein Geschäftsführer. In manchen Fällen gibt es darüber hinaus noch den „Auftragsverarbeiter“, also zum Beispiel ein Dienst, der im Auftrag eines Unternehmens für dieses Daten verarbeitet. In diesem Fall kann die Auskunftspflicht beide, also Auftraggeber und Auftragsverarbeitender Verantwortlicher im Sinne der DSGVO sein.
3. Ersuchen
   Es muss ein Ersuchen gestellt werden. Dies kann mündlich, schriftlich oder elektronisch erfolgen. Hierfür sollten Sie sich als legitimer Auskunftsberechtigter ausweisen können. Sollten Sie nur Interesse an einer bestimmten Information haben, bietet es sich an, diese genau herauszustellen. Denn ansonsten kann es sein, dass Sie unter einem Berg von gesammelten Informationen „begraben“ werden.
4. Auskunftsanspruchsbegründung
   Eine Begründung Ihres Anspruchs müssen Sie grundsätzlich nicht angeben.
5. Frist
   Eine Verfristung Ihres Anspruchs ist insoweit nicht vorgesehen. Ihre Auskunft ist jedoch umgekehrt unverzüglich, im Regelfall innerhalb eines Monats zu vollständig zu beantworten.

Welche Informationen umfasst der Auskunftsanspruch?

Es gibt eine Vielzahl von Daten, die unter den Auskunftsanspruch fallen. Diese werden in Art. 15 Abs. 1 DSGVO aufgezählt:

1. Die Verarbeitungszwecke;
2. die Kategorien personenbezogener Daten, die verarbeitet werden;
3. die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
4. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
5. das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
6. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
7. wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
8. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Mit anderen Worten, eine Vielzahl von wichtigen persönlichen Daten.

Nach Art. 15 Abs. 3 DSGVO steht Ihnen übrigens eine kostenfreie Kopie dieser Informationen zu. Dies bedeutet, dass der Anspruchsgegner Sie hierfür nicht zur Kasse bitten darf. Dabei können Sie normalerweise frei wählen, on Sie eine Kopie in Papierform oder auf elektronischem Weg erhalten möchten.

Was ist, wenn Ihnen die Auskunft gem. Art. 15 DSGVO erteilt wird?

Der Verantwortliche kann Ihr Verlangen in dreierlei Art nicht rechtmäßig behandeln:

Er erteilt gar keine Auskunft

Der Verantwortliche darf nur unter einer Voraussetzung Ihren Auskunftsanspruch verweigern. Dieser Grund findet sich in Art. 15 Abs. 4 DSGVO: Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Er erteilt zu spät Auskunft

Grundsätzlich legt Art. 12 Abs. 3 DSGVO fest: „Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.“ Wenn der Verantwortliche verfristet Ihnen erst Auskunft gewährt, können Sie ein Schmerzensgeld gem. Art. 82 Abs. 1 DSGVO geltend machen.

Er erteilt unvollständig Auskunft

Grundsätzlich hat der Verantwortliche nicht zu entscheiden, welche Daten er Ihnen mitteilt, und welche nicht. Welche Daten von Art. 15 Abs. 1 DSGVO umfasst sind, wurde oben bereits festgestellt. Auch das nicht ausreichende Auskunftserteilen ist dabei sanktionsbewährt und kann ebenfalls zu einem Schmerzensgeldanspruch führen.

Wie können sie sich gegen eine rechtwidrige Anspruchsbehandlung zur Wehr setzen?

Die DSGVO stellt Ihnen einige Mittel zur Verfügung, wenn Ihr Verlangen nicht rechtmäßig erfüllt worden ist.

Aufsichtsbehörde informieren

Wenden Sie sich an die zuständige Aufsichtsbehörde. Diese ist in fast allen Ländern sowohl für öffentliche Behörden als auch juristische Personen, die Daten verarbeiten, die Landesdatenschutzbeauftragten. Sie können Datenschutzverstöße mit empfindlichen Bußgeldern sanktionieren.

Sollte es sich bei dem Verantwortlichen um ein Unternehmen handeln, welches der BaFin unterliegt, kann unter Umständen eine Beschwerde bei der BaFin eingelegt werden. Was viele nicht wissen: Auch Versicherungen unterliegen der Aufsicht der BaFin. Die BaFin stellt sicher, dass die beaufsichtigten Unternehmen (u.a. Banken und Versicherungen) innerhalb der geltenden Gesetze – wozu auch die DSGVO zählt- tätig sind. 

Schmerzensgeld nach Datenschutzverstoß

Die nicht vollständige, unrichtige oder verspätete Auskunft kann nicht nur zu einer Geldbuße für das entsprechende Unternehmen oder die Behörde führen, sondern Ihnen als Betroffenen auch einen Schadensersatzanspruch bescheren. Und zwar sowohl einen materiellen Schadensersatz (Vermögensschaden) als auch einen immateriellen Schadensersatz (Schmerzensgeld). Art. 82 DSGVO formuliert hierbei:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Beispiel: Das Arbeitsgericht Düsseldorf entschied Anfang des Jahres, dass einem ehemaligen Angestellten gegen seinen Arbeitnehmer ein Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO zusteht. Darüber hinaus verurteilte es den Arbeitgeber zu einer Zahlung von 5.000,00 €.

Denn der Arbeitgeber hatte zunächst verspätet, dann unvollständig die Auskunft beantwortet. Der Arbeitgeber habe gegen die Monatsfrist verstoßen, sowie nicht vollständig Datenauskunft gegeben.

Das Gericht führte aus:“ Ein immaterieller Schaden entsteht nicht nur in den
‚auf der Hand liegenden Fällen‘, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren“. Hinsichtlich der Errechnung des Schmerzensgeldes schreib das Gericht: „Unter Berücksichtigung all dessen hat die Kammer für die ersten zwei Monate der Verspätung jeweils 500 €, für die weiteren etwa drei Monate jeweils 1.000 € und für die beiden inhaltlichen Mängel der Auskunft jeweils 500 € angesetzt.“

Fazit

Daten werden immer mehr ins Verbraucherbewusstsein vorrücken. Es lohnt sich, selbstbewusst die Ansprüche aus der DSGVO zu nutzen, um die Hoheit über die eigenen Daten zu erhalten. Sollte Ihrem Auskunftsanspruch nicht hinreichend genügt werden, können Sie sogar einen Schadensersatz oder ein Schmerzensgeld einfordern.

Rechtliche Grundlagen

Um Einsicht in die Patientenakte zu erhalten, können Sie sich rechtlich sowohl auf Art. 15 DSGVO als auch auf § 630g Abs. 1 BGB berufen.

15 Abs. 3 DSGVO lautet:

„Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.“

Hieraus lässt sich entnehmen: Der Arzt ist verpflichtet, zumindest die erste Kopie der Daten kostenfrei an Sie herauszugeben. Er kann laut Wortlaut die Herausgabe nach Art. 15 DSGVO nur dann verweigern, wenn die Freiheiten anderer Personen betroffen sind. Dies wird zumindest bei Patientenakten regelmäßig nicht der Fall sein: Hierin geht es (fast) ausschließlich um die persönliche Behandlung durch einen Arzt, dessen Interessen werden aber regelmäßig nicht einem Anspruch zuwiderlaufen können.

630g Abs. 2 BGB lautet hingegen:

„Der Patient kann auch elektronische Abschriften von der Patientenakte verlangen. Er hat dem Behandelnden die entstandenen Kosten zu erstatten.“

Jedoch kann eine Aktenherausgabe dann verweigert werden, soweit erhebliche therapeutische Zweifel eine vollständige Aktenherausgabe zuwiderlaufen. Dies wird jedoch nur in Einzelfällen gegeben sein.

Mithin wäre hier also ein Ersatz der entstandenen Kosten zu bejahen. Somit widersprechen sich die beiden Normen. Art. 15 DSGVO stellt auf eine kostenfreie Übersendung Ihrer personenbezogenen Daten ab, § 630g BGB sieht hingegen die Möglichkeit der Kostenauferlegung vor.

Welche der Anspruchsgrundlagen einschlägig ist, entschied das LG Dresden im Frühsommer des Jahres 2020:

Urteil des LG Dresden, 29.05.2020 – 6 O 76/20 –

Eine Patientin hatte gefordert, dass Sie gem. Art. 15 Abs. 3 DSGVO eine unentgeltliche Auskunft über Ihre gespeicherten Daten einer Klinik als PDF-Datei erhalten soll. Die Klinik hielt entgegen, dass dies nach § 630g Abs. 2 BGB nur gegen eine Zahlung von 5,90 € erfolge.

Das Gericht ging in seinen Entscheidungsgründen davon aus, dass die beiden Anspruchsgrundlagen grundsätzlich nebeneinander bestehen. Es kommt hierbei auch nicht darauf an, für welchen Zweck die Daten von dem Anspruchssteller genutzt werden sollen. Ein Vorrang des § 630g BGB gebe es nicht. Wenn ein Anspruchssteller seinen Anspruch allein auf Art. 15 Abs. 3 DSGVO stützt, muss auch diesem ohne Kostenersatz vollständig entsprochen werden. Insbesondere handelt es sich bei einem PDF-Format um so ein gängiges elektronisches Format, dass die Klinik sich nicht darauf stützen kann, dass eine solche Übersendung ihr nicht möglich sei.

Fazit

Das Landgericht hat damit die Frage nach der Kostentragung eindeutig entschieden. Wenn Sie Ihre Patientenakte in Form eines PDF-Formats kostenfrei übermittelt haben möchten, darf der Arzt dies nicht unter Hinweis des § 630g BGB verweigern.

In diesem Fall können Sie sich an die Landesdatenschutzbehörde und die Ärztekammer wenden.