Beschränkung des Auskunftsrechts durch die Interessen Dritter

Der Bundesgerichtshof (BGH) hatte darüber zu entscheiden, ob das Auskunftsrecht über die Herkunft von personenbezogenen Daten gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO durch datenschutzrechtlich geschützte Interessen Dritter beschränkt werden kann.

Sachverhalt

Ein Kläger (Mieter einer Wohnung) machte gegen eine Beklagte (seine Vermieterin) einen Auskunftsanspruch nach der Datenschutz-Grundverordnung geltend.

Die Vermieterin hatte den Kläger dazu aufgefordert, da er in einer Hausgemeinschaft wohne und die Vermieterin für seine Mitbewohner Sorge trage, dass er umgehend eine Reinigung und Entrümpelung der Wohnung vornehme. Außerdem kündigte die Vermieterin eine Wohnungsbesichtigung an.

Daraufhin verlangte der Kläger unter Verweis auf die Datenschutz-Grundverordnung Auskunft darüber, „welcher seiner Mitbewohner sich über ihn beschwert haben soll“.

Als ihm diese Auskunft verweigert wurde, legte er Klage beim zuständigen Landgericht ein und verlangte, gestützt auf Art. 15 Abs. 1 DSGVO, Auskunft über die bei der Beklagten verarbeiteten, ihn betreffenden personenbezogenen Daten, einschließlich der Auskunft darüber, welcher seiner Mitbewohner sich über ihn beschwert haben soll, ferner die Zahlung von Schmerzensgeld und die Erstattung vorgerichtlicher Rechtsanwaltskosten.

Da das Landgericht die Klage abwies, legte der Kläger Berufung beim zuständigen Oberlandesgericht ein. Diese Berufung wurde zurückgewiesen. Dabei hat das Berufungsgericht zur Begründung seiner Entscheidung ausgeführt, der Kläger könne die Auskunft nicht gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO verlangen. Bei den Daten „starke Geruchsbelästigung und Ungeziefer im Treppenhaus“ handle es sich zwar wegen des hergestellten Bezugs zu der Wohnung des Klägers um personenbezogene Daten, die mittelbar den Kläger beträfen. Diese seien auch von der Beklagten dadurch verarbeitet worden, dass sie die Daten in dem Schreiben genannt und zum Anlass für eine Wohnungsbesichtigung genommen habe. Die Beklagte sei Verantwortliche im Sinne der DSGVO. Ob die Daten, die der Beklagten von dritter Seite ohne deren Zutun zugetragen worden seien, im Sinne von Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO erhoben worden seien, könne dahinstehen. Denn ein Anspruch auf Auskunft auf alle verfügbaren Informationen über die Herkunft der Daten bestehe deshalb nicht, weil die Beklagte im Falle der Preisgabe des Namens der Person, die sich beschwerte, entgegen deren datenschutzrechtlichen Interessen handeln würde. Im Rahmen einer Interessenabwägung sei das Auskunftsinteresse des Klägers gegen das Datenschutzinteresse Dritter, aber auch gegen das Interesse der Hausverwaltung an einer sachgerechten und effektiven Aufgabenerfüllung, darunter auch der Erhaltung der Ordnung und des Friedens in der Hausgemeinschaft, abzuwägen. Die Abwägung falle zu Lasten des Klägers aus. Mit der Auskunftserteilung würde die Beklagte, sofern sie den Namen eines oder mehrerer Hausmitbewohner gegenüber dem Kläger preisgeben müsste, die aus der Datenschutz-Grundverordnung gleichermaßen resultierenden Datenschutzrechte dieser Personen verletzen. Die von der Beklagten vorzunehmende Abwägung der Interessen der Beteiligten lasse es im Ergebnis - gerade im Rahmen der ordnungsgemäßen Aufgabenerfüllung gegenüber den Mitbewohnern – zumindest als sehr gut vertretbar erscheinen, das Auskunftsrecht des Klägers zu verneinen. Mitbewohner des Klägers müssten, wenn sie nicht wider besseres Wissen handelten, wofür hier nichts ersichtlich sei, die Möglichkeit haben, sich über vermeintliche Missstände im Haus gegenüber der Verwaltung zu beschweren, damit diese geeignete Abhilfemaßnahmen treffe. Dabei dürfe jeder Mitbewohner, sofern es sich um sachliche Informationen handle, erwarten, dass seine Information geeignet verwertet, dabei aber dennoch so vertraulich wie möglich behandelt werde. Gäbe die Hausverwaltung die Namen von Beschwerdeführern direkt weiter, trüge dies nicht zum Hausfrieden bei und wäre einer sachlichen Abklärung abträglich. Es bestünde dann die Gefahr, dass sich niemand mehr (vertraulich) an die Hausverwaltung wenden würde, um Missstände im Haus anzuzeigen und um deren Abhilfe zu bitten.

Mit der zugelassenen Revision verfolgte der Kläger den in der Berufungsinstanz gestellten Auskunftsantrag und den Antrag auf Erstattung diesbezüglicher vorgerichtlicher Rechtsanwaltskosten weiter.

Aus den Entscheidungsgründen

Die angeführten Ausführungen des Oberlandesgerichts hielten nach Ansicht des BGH der revisionsrechtlichen Nachprüfung nicht stand. Mit der Begründung des Berufungsgerichts könne ein Anspruch des Klägers auf Auskunft über die Person, die sich bei der Beklagten über ihn beschwert haben soll (im Folgenden: Hinweisgeber), nicht verneint werden. Der Anspruch bestünde vorliegend nur dann nicht, wenn das Interesse des Hinweisgebers daran, dass seine diesbezüglichen Daten nicht weitergegeben werden, oder berücksichtigungsfähige Interessen der Beklagten das Auskunftsrecht des Klägers überwögen. Dies sei auf der Grundlage des vom Revisionsgericht zugrunde zu legenden Verfahrensstoffs (§ 559 ZPO) nicht der Fall.

Gemäß Art. 15 Abs. 1 Halbsatz 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, hat sie gemäß Halbsatz 2 ein Recht auf Auskunft über diese Daten und gemäß Halbsatz 2 Buchstabe g ein Recht auf alle verfügbaren Informationen über die Herkunft der Daten, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden.

Im vorliegenden Fall wurden die Daten von der Beklagten nicht direkt bei dem Kläger erhoben. Dies ist gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO Voraussetzung für das Auskunftsrecht über die Herkunft der Daten, da anderenfalls die betroffene Person über die Herkunft Bescheid wüsste. Dass die Daten ohne Aufforderung der Beklagten durch einen Dritten an diese herangetragen wurden, die Beklagte sich die Daten also nicht aktiv von diesem beschafft hat, ist für das Auskunftsrecht über die Herkunft der Daten ohne Belang. Wie für die Informationspflicht des Verantwortlichen gemäß Art. 14 Abs. 1 DSGVO für den Fall, dass „die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden“, genügt es auch für die Auskunftspflicht gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO, dass der Verantwortliche die von Dritten – auch Privatpersonen – auf deren eigene Initiative spontan übermittelten Daten verarbeitet hat. Eine andere – restriktive – Sichtweise ist weder durch den Wortlaut veranlasst noch wäre sie mit Sinn und Zweck des Auskunftsrechts vereinbar.

Das Auskunftsrecht des Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO besteht jedoch nicht einschränkungslos. Neben den Einschränkungen, die unter anderem in den – vorliegend nicht einschlägigen – Regelungen des § 34 Abs. 1 Nr. 1 i. V. m. § 33 Abs. 1 Nr. 1, Nr. 2 Buchstabe b und Abs. 3 sowie des § 34 Abs. 1 Nr. 2 BDSG enthalten sind, kann das Auskunftsrecht auch durch Rechte und Freiheiten anderer Personen eingeschränkt sein. Dabei kann dahinstehen, ob sich dies unmittelbar aus der Datenschutz-Grundverordnung oder über die Öffnungsklausel des Art. 23 Abs. 1 Buchstabe i DSGVO erst aus § 29 Abs. 1 Satz 2 BDSG ergibt. Denn in beiden Fällen kommt es für den vorliegenden Fall im Ergebnis insbesondere darauf an, ob das Interesse des Hinweisgebers an der Geheimhaltung seiner Person das Auskunftsinteresse überwiegt.

Eine Abwägung zwischen den Interessen des Klägers und insbesondere des Hinweisgebers wäre für den - sehr naheliegenden - Fall vorzunehmen, dass das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO schon aufgrund einer der Datenschutz-Grundverordnung immanenten Beschränkung die Rechte oder Freiheiten anderer Personen nicht beeinträchtigen darf.

Der Wortlaut des Art. 15 DSGVO enthält keine Hinweise darauf, dass das Auskunftsrecht der betroffenen Person aus Art. 15 Abs. 1 DSGVO beschränkt wäre. Gemäß Art. 15 Abs. 4 DSGVO darf lediglich das Recht auf Erhalt einer Kopie gemäß Absatz 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Allerdings lautet Erwägungsgrund 63, der sich mit dem Auskunftsrecht der betroffenen Person befasst, in seinen Sätzen 5 und 6 wie folgt: „Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird."

Eine Offenlegung durch Übermittlung wäre eine Verarbeitung der personenbezogenen Daten (Art. 4 Nr. 2 DSGVO), die nur unter den Voraussetzungen des Art. 6 Abs. 1 Unterabs. 1 DSGVO rechtmäßig wäre (Verbot mit Erlaubnisvorbehalt). Willigt die von der Auskunft über die Herkunft der Daten betroffene Person in die Übermittlung ihrer Daten nicht ein (Art. 6 Abs. 1 Unterabs. 1 Buchstabe a DSGVO), kommt in einem Fall wie dem vorliegenden nur der Erlaubnistatbestand des Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO in Betracht. Danach wäre die Übermittlung der personenbezogenen Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen (hier: der Beklagten) oder eines Dritten (hier: des Klägers im Hinblick auf sein Auskunftsrecht) erforderlich wäre, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person (hier: des Hinweisgebers), die den Schutz personenbezogener Daten erfordern, überwiegen. Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO erfordert also eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, in deren Rahmen die Bedeutung der betroffenen Rechte, die sich aus den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union ergeben, zu berücksichtigen sind. Damit eröffnet Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO die Möglichkeit, widerstreitende Unionsgrundrechte Privater in Ausgleich zu bringen.

Für den Fall, dass das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO schon aufgrund einer der Datenschutz-Grundverordnung immanenten Beschränkung die Rechte oder Freiheiten anderer Personen nicht beeinträchtigen darf, käme es nach alledem vorliegend insbesondere darauf an, ob der Hinweisgeber in die Offenlegung seiner Identität gegenüber dem Kläger eingewilligt hat oder ob seine Interessen oder Grundrechte und Grundfreiheiten gegenüber dem Auskunftsrecht des Klägers überwiegen.

Art. 23 Abs. 1 Buchstabe i DSGVO eröffnet unter bestimmten Voraussetzungen die Möglichkeit, das Auskunftsrecht durch ein Gesetz zu beschränken, das den „Schutz der Rechte und Freiheiten anderer Personen“ sicherstellt. Eine solche Regelung hat der deutsche Gesetzgeber mit § 29 Abs. 1 Satz 2 BDSG getroffen. Danach besteht das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.

Informationen, die ihrem Wesen nach einer Geheimhaltungspflicht unterliegen können, können auch personenbezogene Daten eines Dritten sein, die im Falle der Erteilung der Auskunft nach Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO durch Übermittlung offenbart würden. Ob im konkreten Fall eine Geheimhaltungspflicht besteht, bestimmt sich gemäß § 29 Abs. 1 Satz 2 BDSG nach einer Interessenabwägung im Einzelfall, wobei die berechtigten Interessen des Dritten überwiegen müssen. Es kann dahinstehen, ob und inwieweit im Rahmen der Öffnungsklausel des Art. 23 Abs. 1 Buchstabe i DSGVO i.V.m. § 29 Abs. 1 Satz 2 BDSG die Grundrechte des Grundgesetzes zu berücksichtigen sind. Denn jedenfalls überwiegen die hier allein in Betracht kommenden datenschutzrechtlich geschützten Interessen des Hinweisgebers dann nicht, wenn ihre Weitergabe rechtmäßig wäre. Dies bestimmt sich aber nach Art. 6 Abs. 1 Unterabs. 1 DSGVO und damit hier - bei Fehlen einer Einwilligung – nach Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO. In diesem unionsrechtlich vollständig determinierten Bereich sind wiederum grundsätzlich nicht die deutschen Grundrechte, sondern allein die Unionsgrundrechte maßgeblich.

In die demnach vorzunehmende Abwägung zwischen den Interessen des Auskunftsberechtigten und des Hinweisgebers sind zugunsten des Auskunftsberechtigten Bedeutung, Gewicht und Zweck des Auskunftsrechts über die Herkunft der Daten gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO einzubeziehen. Das Recht jeder Person, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken, ist in Art. 8 Abs. 2 Satz 2 der Charta im Rahmen des Rechts auf Schutz personenbezogener Daten verbürgt. Es dient dem Zweck, dass sich die betroffene Person der Verarbeitung der sie betreffenden Daten bewusst wird und deren Rechtmäßigkeit überprüfen kann (Erwägungsgrund 63 Satz 1 der DSGVO). Sie soll sich insbesondere vergewissern können, dass sie betreffende personenbezogene Daten richtig sind und in zulässiger Weise verarbeitet werden. Das Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO ist insbesondere erforderlich, um es der betroffenen Person gegebenenfalls zu ermöglichen, von dem für die Verarbeitung Verantwortlichen etwa die Berichtigung oder Löschung ihrer Daten zu verlangen. Die Pflicht des Verantwortlichen gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO, im Falle der Verarbeitung personenbezogener Daten der betroffenen Person auch alle verfügbaren Informationen über die Herkunft der Daten zur Verfügung zu stellen, soll die betroffene Person in die Lage versetzen, mögliche Rechte auch gegen die Person oder Stelle geltend zu machen, von der die (möglicherweise unrichtigen oder zu Unrecht weitergegebenen) Daten herrühren, um so die „Fehler an der Wurzel anzugehen“.

Zugunsten des Hinweisgebers ist demgegenüber zu berücksichtigen, dass auch dessen Rechte durch Art. 7 Abs. 1 (Achtung des Privatlebens) und Art. 8 (Recht auf Schutz personenbezogener Daten) der Charta verbürgt sind, wobei diese beiden Grundrechte, soweit es um die Verarbeitung personenbezogener Daten geht, eine einheitliche Schutzverbürgung bilden. Allerdings dürfen gemäß Art. 8 Abs. 2 Satz 1 der Charta seine Daten nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage (hier: Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO) verarbeitet werden. Allein der Einwand des auf Auskunft in Anspruch genommenen Verantwortlichen, dem Hinweisgeber - im Ergebnis ohne Rücksicht auf das Auskunftsrecht des Betroffenen - Vertraulichkeit zugesichert zu haben, führt noch nicht zum Recht, dem Auskunftsersuchenden die Information zu verweigern, ebenso wenig ein pauschaler Verweis auf das Schutzbedürfnis des Hinweisgebers und darauf, dass der Verantwortliche auf dessen Hinweise angewiesen sei.

Das Interesse an der Geheimhaltung des Hinweisgebers hat gegenüber dem Auskunftsinteresse regelmäßig dann zurückzutreten, wenn der Hinweisgeber wider besseres Wissen oder leichtfertig unrichtige Angaben zu personenbezogenen Daten der betroffenen Person gemacht hat. Ob es abgesehen von diesen Fällen auf die objektive Richtigkeit oder Unrichtigkeit der vom Hinweisgeber mitgeteilten Daten ankommt, hängt von den Umständen des Einzelfalls ab.

Für die Abwägung zwischen dem Recht der betroffenen Person auf Auskunft über die Herkunft personenbezogener Daten durch Benennung des Hinweisgebers gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO und dem Interesse des Hinweisgebers daran, dass seine Identität nicht offengelegt wird, kann demnach die Richtigkeit oder Unrichtigkeit der von dem Hinweisgeber mitgeteilten personenbezogenen Daten eine maßgebliche, wenn auch nicht die allein entscheidende Rolle spielen.

Die Darlegungs- und Beweislast für die Umstände, die im Rahmen der gebotenen Interessenabwägung im Einzelfall die Verweigerung der begehrten Auskunft über die Person des Hinweisgebers rechtfertigen sollen, trägt nach allgemeinen Grundsätzen der auf Auskunft in Anspruch genommene Verantwortliche. Dieser darf sich dabei nicht auf bloße Vermutungen stützten, sondern hat die konkreten Tatsachen zu benennen, die das überwiegende Interesse des Hinweisgebers an seiner Geheimhaltung begründen sollen.

Im vorliegenden Fall ist nicht davon auszugehen, dass durch die vom Kläger verlangte Auskunft über die Herkunft der von der Beklagten verarbeiteten personen-bezogenen Daten die Rechte und Freiheiten des Hinweisgebers beeinträchtigt würden. Denn die Offenlegung der Identität des Hinweisgebers gegenüber dem Kläger durch die Beklagte als Verantwortliche wäre, auch wenn der Hinweisgeber - was nicht festgestellt ist - in diese nicht eingewilligt haben sollte, gemäß Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO rechtmäßig. Sie wäre zur Wahrung des berechtigten Interesses des Klägers, nämlich seines Rechtes auf Auskunftserteilung gemäß Art. 15 Abs. 1 Halbsatz 2 Buchstabe g DSGVO, erforderlich. Die Interessen oder Grundrechte und Grundfreiheiten des Hinweisgebers, die den Schutz personenbezogener Daten erfordern, überwögen demgegenüber nicht.

Entgegen der Ansicht des Berufungsgerichts besteht bei Annahme einer Auskunftspflicht über die Identität des Hinweisgebers auch nicht die Gefahr, dass sich niemand mehr an die Hausverwaltung wenden würde, um Missstände im Haus anzuzeigen und um Abhilfe zu bitten. Denn auf Missstände kann auch anonym hingewiesen werden, ohne dass die Anonymität des Hinweisgebers einer Reaktion der Hausverwaltung grundsätzlich entgegenstehen würde.

Fundstelle: Urteil des BGH vom 22.02.2022, VI ZR 14/21 – abrufbar im Internet beispielsweise unter https://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&sid=8dc695319a6318345e51e60f95657bfb&nr=128026&pos=0&anz=1