Auch der Zugriff ist ein Verarbeitungsvorgang
Datenschutz betrifft nicht nur das erstmalige Speichern oder die Weitergabe an andere Unternehmen. Auch ein interner Abruf kann ein rechtlich relevanter Verarbeitungsvorgang sein. Für eine betroffene Person kann entscheidend sein, wann und aus welchem Grund auf ihre Daten zugegriffen wurde. Gleichzeitig bedeutet ein festgestellter Zugriff nicht automatisch einen unzulässigen Vorgang. Zunächst müssen die tatsächlichen Abfragen und ihr Zweck geklärt werden. Erst anschließend lässt sich prüfen, ob eine ausreichende rechtliche Berechtigung bestand.
Die Entscheidung Pankki S
Im Urteil vom 22. Juni 2023 – C-579/21 behandelte der EuGH Zugriffe auf die Kundendaten eines Mannes, der zugleich Beschäftigter der betreffenden Bank gewesen war. Nach dem hier zitierten Tenor umfassen die erfassten Auskünfte Informationen über Zeitpunkt und Zwecke der Abfragen. Dass es sich um ein reguliertes Bankgeschäft handelte und der Betroffene zugleich Arbeitnehmer war, veränderte die Reichweite grundsätzlich nicht. Das Urteil trennt diese Angaben von der Identität einzelner Beschäftigter. Deshalb dürfen die unterschiedlichen Informationsarten nicht ohne Weiteres mit derselben Begründung insgesamt verweigert oder insgesamt zugesprochen werden.
Warum die Beschäftigtennamen besonders zu prüfen sind
Für Mitarbeiter, die unter Aufsicht und weisungsgemäß handeln, besteht nach dem Urteil grundsätzlich kein entsprechender pauschaler Namensauskunftsanspruch. Eine Ausnahme kann vorliegen, wenn ihre Identität für die wirksame Wahrnehmung der Datenschutzrechte unerlässlich ist. Dabei müssen auch ihre Rechte und Freiheiten berücksichtigt werden. Der bloße Wunsch, jede beteiligte Person namentlich zu kennen, ersetzt diese Prüfung nicht. Umgekehrt ist ein absoluter Ausschluss unter allen Umständen ebenfalls ungenau. Entscheidend sind der konkrete Informationsbedarf und die Bedeutung für die tatsächlich wahrzunehmenden Rechte, nicht allein die technische Existenz eines Benutzernamens.
Ein Beispiel einer unklaren Kontoabfrage
Eine Bankkundin erfährt, dass ihre Kundendaten mehrfach intern abgefragt wurden. Sie möchte Zeitpunkt und Zweck nachvollziehen, weil sie keinen passenden Geschäftsvorgang kennt. Eine Antwort, die allein auf die Vertraulichkeit sämtlicher Mitarbeiterdaten verweist, erledigt diese beiden Fragen nicht automatisch. Für ein zusätzliches Begehren nach konkreten Namen müsste dagegen gesondert erklärt und geprüft werden, weshalb diese Angaben unerlässlich sind. Das Beispiel zeigt die praktische Trennung: Informationen über die Abfragen können geschuldet sein, während die vollständige Identität jeder beteiligten Person einer weiteren Abwägung bedarf.
Protokolldaten und fertige Dokumente unterscheiden
Relevante Informationen können in technischen Protokolldateien enthalten sein. Der Anspruch betrifft die erfassten personenbezogenen Informationen, nicht jede komplette Systemdatei. Eine verständliche Zusammenstellung kann daher eine andere Bedeutung haben als die ungefilterte Herausgabe aller Sicherheitsprotokolle. Fremde Daten und interne Schutzbelange sind konkret zu berücksichtigen. Ob eine Aufbereitung genügt, hängt insbesondere davon ab, ob Zeitpunkt und Zweck zutreffend und nachvollziehbar wiedergegeben werden. Eine bloße Bewertung ersetzt die erfassten Informationen nicht.
Ältere Verarbeitung und neues Auskunftsersuchen
Der EuGH stellte außerdem klar, dass Artikel 15 auf ein nach Beginn der DSGVO-Anwendung gestelltes Ersuchen anwendbar sein kann, obwohl die betreffenden Verarbeitungsvorgänge früher erfolgten. Der zeitliche Zusammenhang darf deshalb nicht allein mit dem damaligen Zugriffsdatum abgelehnt werden. Welche Daten noch vorhanden und welche gesetzlichen Grenzen einschlägig sind, bleibt zu prüfen. Daraus folgt keine grenzenlose Verpflichtung, jede jemals gelöschte technische Information neu zu erschaffen. Die Entscheidung behandelt die zeitliche Anwendbarkeit des Auskunftsrechts und darf nicht mit einer unbegrenzten allgemeinen Aufbewahrungspflicht verwechselt werden.
Die Anfrage auf den tatsächlichen Vorgang beziehen
Hilfreich sind die Bezeichnung des Datenbestands und ein soweit bekannter Zeitraum der vermuteten Abfragen. Zeitpunkt, Zwecke und gegebenenfalls gesondert begründete Identitätsinformationen sollten getrennt verlangt werden. Die Antwort lässt sich dann auf jede Informationsart hin überprüfen. Bei einem möglichen unbefugten Zugriff kommen zusätzliche Fragen zu Rechtmäßigkeit und Schutzmaßnahmen hinzu. Ein Schadensersatzanspruch entsteht aber nicht schon allein durch das Stellen einer Auskunftsanfrage. Er setzt die eigenständigen rechtlichen Merkmale voraus. Eine klare Darstellung unterstützt deshalb sowohl die Auskunftsbearbeitung als auch die spätere Bewertung eines tatsächlich belegten Datenschutzproblems.