Wenn der Antragsteller eines Auskunftsersuchens nach Art. 15 DSGVO seiner Pflicht, zusätzliche Informationen für seine Identifizierung zur Verfügung zu stellen, nicht nachkommt.
Mit seinem Beschluss vom 24.04.2023, Az. VG 1 K 227/22, hat das Verwaltungsgericht (VG) Berlin die Wichtigkeit der Identifizierung eines Antragstellers auf Auskunftsersuchen nach Art. 15 DSGVO verdeutlicht. Gleichzeitig wird die Pflicht des Antragstellers, bei der Identitätsfeststellung mitzuwirken, in den Mittelpunkt gerückt.
Worum geht es in dem Beschluss?
Eine Wirtschaftsauskunftei (WA) sollte an eine natürliche Person Auskunft nach Art. 15 DSGVO erteilen. Die WA hatte begründete Zweifel an der Identität des Antragstellers. Eine einfache Internetrecherche ergab, dass im Bundesgebiet zwei unterschiedliche Personen existieren, die den Vor- und Nachnamen des Antragstellers tragen. Um eine Beauskunftung an eine dritte Person auszuschließen, insbesondere auch wegen der erhöhten Sensibilität der gespeicherten Daten, forderte die WA zur Identifizierung das Geburtsdatum und ggf. frühere Adressen beim Antragsteller an.
Der Antragsteller kam der Aufforderung nicht nach. Vielmehr beschwerte er sich beim Berliner Beauftragten für Datenschutz und Informationssicherheit. Die Datenschutzbehörde wies die Beschwerde zurück, weil sie nach Prüfung des Sachverhaltes keinen Verstoß gegen datenschutzrechtliche Bestimmungen feststellen konnte. Gegen diesen Bescheid wehrte sich der Antragsteller und wandte sich an das VG Berlin vorerst mit einem Antrag auf Prozesskostenhilfe. Das VG Berlin lehnte den Antrag wegen fehlender Aussicht auf Erfolg ab. Die Abfrage des Geburtsdatums stehe „zum Zweck der Identifizierung des Antragstellers nicht außer Verhältnis, insbesondere mit Blick auf die erhöhte Sensibilität der bei Wirtschaftsauskunfteien gespeicherten Daten und dem aufgrund der Kommerzialisierung derartiger Daten gesteigerten Missbrauchspotential“. Der Antragsteller habe „jedoch - unter Verstoß auf die ihm obliegende Mitwirkungspflicht – nicht auf die damit berechtigte Anfrage der Wirtschaftsauskunftei reagiert“.
Welche Pflichten haben Verantwortliche?
Wird ein Unternehmen mit einem Auskunftsersuchen nach Art. 15 DSGVO konfrontiert, ist der erste Schritt bei der Bearbeitung des Antrags die Identifizierung des Antragstellers. Es muss sorgfältig geprüft werden, ob es sich beim Antragsteller um eine betroffene Person (die Person deren Daten im Unternehmen verarbeitet werden) handelt. Wie folgenreich es sein kann, diesen Schritt nicht sorgfältig auszugestalten, zeigt das hohe Bußgeld (900.000 EUR) gegen die 1&1 Telekom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im Rahmen des Identifizierungsprozesses (Urteil des Landgerichts Bonn vom 11.11.2020 – Az. 29 OWi 1/20).
Wenn begründete Zweifel an der Identität der betroffenen Person bestehen, kann das Unternehmen als Verantwortliche zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind (Art. 12 Abs. 6 DSGVO). Hintergrund der Regelung ist, dass die zu beauskunftenden Daten nicht an unbefugte Dritte übermittelt werden sollen. Die Herausgabe personenbezogener Daten an einen anderen Antragsteller als die betroffene Person stellt eine unbefugte Datenverarbeitung in der Form der Datenübermittlung dar und kann zugleich eine Persönlichkeitsverletzung begründen. Dies kann als Folge Schadenersatzansprüche nach Art. 82 DSGVO sowie Sanktionen nach Art. 83 DSGVO auslösen.
Welche Mitwirkungsobliegenheiten hat der Antragsteller?
Es obliegt dem Antragsteller, die für die Identifikation erforderlichen Informationen offenzulegen. Tut er dies nicht, endet hier die Pflicht des Verantwortlichen zur Identifizierung und damit auch die Durchsetzbarkeit des Auskunftsanspruchs gem. Art. 12 Abs. 2 S. 2 DSGVO i.V.m. Art. 11 Abs. 2 DSGVO.
Eine Identifizierung bei berechtigtem Zweifel an der Identität ist nicht zuletzt auch im Interesse der anfragenden Person. In unserer Miniserie zum Umgang mit dem Recht auf Auskunft nach Art. 15 DSGVO haben wir in Teil 1 ausführlich über die Identifizierung der betroffenen Person berichtet. Gerne können Sie diesen Artikel hier nachlesen.
Wir freuen uns, wenn Sie bei Fragen Kontakt mit uns aufnehmen.
Autorin: Rosemarie Popa