Sie haben bei einem Unternehmen Auskunft über Ihre personenbezogenen Daten verlangt, aber auch nach Wochen oder Monaten keine Antwort erhalten? Dann kann ein Verstoß gegen die DSGVO vorliegen. Das OLG Köln hat einer Betroffenen wegen einer verspäteten Datenauskunft 500 Euro Schadensersatz zugesprochen. Doch wann besteht tatsächlich ein Zahlungsanspruch, und wie können Betroffene ihre Rechte durchsetzen?

1. Was hat das OLG Köln entschieden?

Eine Frau hatte ihren früheren Rechtsanwalt um Auskunft über ihre personenbezogenen Daten gebeten.

Sie benötigte die Informationen und Unterlagen, um die Regulierung ihrer Ansprüche aus einem Verkehrsunfall mit einem neuen Anwalt fortsetzen zu können.

Doch die Auskunft ließ auf sich warten.

Obwohl die Frau bereits im Januar 2020 Auskunft verlangt hatte, erhielt sie die Informationen und die Handakten erst im Oktober 2020.

Sie verlangte deshalb Schadensersatz.

Das Oberlandesgericht Köln gab ihr mit Urteil vom 14. Juli 2022 (Az. 15 U 137/21) recht und sprach ihr 500 Euro zu.
Dabei ging es nicht allein um die versäumte Frist. Die Klägerin hatte auch dargelegt, welche konkreten Folgen die Verzögerung für sie hatte.

2. Welche Informationen kann ich nach Art. 15 DSGVO verlangen?

Art. 15 DSGVO gibt Ihnen das Recht zu erfahren, ob ein Unternehmen personenbezogene Daten über Sie verarbeitet.

Ist dies der Fall, können Sie unter anderem Auskunft verlangen über:
  • die verarbeiteten personenbezogenen Daten,
  • die Zwecke der Datenverarbeitung,
  • die Kategorien der betroffenen Daten,
  • die Empfänger oder Empfängerkategorien,
  • die geplante Speicherdauer beziehungsweise deren Kriterien,
  • die Herkunft der Daten, soweit diese nicht bei Ihnen erhoben wurden, und
  • bestimmte weitere Informationen, beispielsweise über automatisierte Entscheidungen.

Außerdem haben Sie nach Art. 15 Abs. 3 DSGVO grundsätzlich Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.

Wichtig ist dabei die Unterscheidung zwischen einer Kopie Ihrer personenbezogenen Daten und einer Kopie sämtlicher Dokumente, in denen solche Daten vorkommen.

Nicht jedes Dokument muss vollständig herausgegeben werden. Unter bestimmten Umständen kann es allerdings erforderlich sein, Dokumentenauszüge oder ganze Dokumente bereitzustellen, damit Sie Ihre Daten vollständig und verständlich nachvollziehen können.

3. Wie lange darf das Unternehmen für die Auskunft brauchen?

Nach Art. 12 Abs. 3 DSGVO muss das Unternehmen grundsätzlich innerhalb eines Monats nach Eingang Ihres Antrags antworten.

In komplexen Fällen oder bei einer großen Anzahl von Anträgen darf die Frist um bis zu zwei weitere Monate verlängert werden.

Das Unternehmen muss Sie dann aber innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren.
Eine bloße Mitteilung, man werde sich irgendwann um die Anfrage kümmern, genügt dafür nicht.

Muss ich meinen Antrag begründen?

Nein. Sie müssen grundsätzlich nicht erklären, warum Sie Auskunft über Ihre personenbezogenen Daten verlangen.

Auch müssen Sie keine juristischen Fachbegriffe verwenden.

Entscheidend ist, dass das Unternehmen erkennen kann, dass Sie Ihr datenschutzrechtliches Auskunftsrecht ausüben möchten.

4. Bekomme ich Schadensersatz, wenn die Antwort zu spät kommt?

Das ist möglich, aber nicht automatisch der Fall.

Art. 82 DSGVO sieht einen Anspruch auf Ersatz materieller und immaterieller Schäden vor, die durch einen Verstoß gegen die DSGVO entstanden sind.

Für einen Schadensersatzanspruch müssen grundsätzlich drei Voraussetzungen erfüllt sein:
  1. Das Unternehmen hat gegen die DSGVO verstoßen.
  2. Ihnen ist dadurch ein materieller oder immaterieller Schaden entstanden.
  3. Zwischen dem Verstoß und dem Schaden besteht ein ursächlicher Zusammenhang.

Ein finanzieller Verlust ist dafür nicht zwingend erforderlich.

Auch immaterielle Beeinträchtigungen können ersatzfähig sein.

Allerdings reicht es nicht aus, lediglich auf die verspätete Auskunft hinzuweisen und daraus automatisch einen Anspruch auf Geld abzuleiten.

Warum erhielt die Klägerin 500 Euro?

Im Fall des OLG Köln hatte die Frau nachvollziehbar geschildert, dass die verspätete Auskunft sie psychisch belastete.

Sie hatte Sorgen wegen der weiteren Regulierung ihrer Ansprüche aus dem Verkehrsunfall. Außerdem konnte sie ihre Angelegenheit mit dem neuen Rechtsanwalt über Monate nicht wie gewünscht fortführen, weil ihr die benötigten Unterlagen fehlten.

Das Gericht berücksichtigte diese Umstände und sprach ihr 500 Euro zu.

Die 500 Euro waren also kein pauschales „Bußgeld“ für die verspätete Auskunft, sondern eine Entschädigung für die im konkreten Fall festgestellten Beeinträchtigungen.

5. Was kann ich tun, wenn das Unternehmen nicht antwortet?

Wenn Sie nach Ablauf der gesetzlichen Frist keine Auskunft erhalten haben, stehen Ihnen verschiedene Möglichkeiten offen.

Zunächst: Den Eingang Ihres Antrags dokumentieren

Bewahren Sie Ihren Auskunftsantrag und möglichst auch einen Nachweis darüber auf, wann sie ihn abgeschickt haben.

Das kann beispielsweise eine Eingangsbestätigung, eine E-Mail-Korrespondenz oder eine andere nachvollziehbare Dokumentation sein.

Diese Unterlagen können später wichtig werden.

Das Unternehmen erneut kontaktieren


Sie können das Unternehmen auf die abgelaufene Frist hinweisen und zur Erteilung der Auskunft auffordern.

Eine solche Erinnerung ist grundsätzlich keine Voraussetzung dafür, dass Sie Ihre Rechte geltend machen können. Sie kann aber helfen, die Angelegenheit ohne weitere Schritte zu klären.

Beschwerde bei der Datenschutzaufsichtsbehörde einreichen


Nach Art. 77 DSGVO können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Die Aufsichtsbehörde kann den Sachverhalt prüfen und gegebenenfalls Maßnahmen gegenüber dem Unternehmen ergreifen.

Sie spricht Ihnen allerdings nicht selbst einen zivilrechtlichen Schadensersatz zu.

Gerichtliche Schritte prüfen


Sie können Ihren Auskunftsanspruch unter den gesetzlichen Voraussetzungen auch gerichtlich durchsetzen.

Wenn Ihnen durch den Datenschutzverstoß ein Schaden entstanden ist, kommt zusätzlich ein Schadensersatzanspruch nach Art. 82 DSGVO in Betracht.

Ob sich eine Klage lohnt, hängt insbesondere von den konkreten Umständen und den vorhandenen Nachweisen ab.

6. Wie kann ich einen Schaden durch die verspätete Auskunft nachweisen?

Gerade bei immateriellen Schäden ist es wichtig, die tatsächlichen Folgen der Verzögerung möglichst konkret zu beschreiben.
  • Fragen Sie sich beispielsweise:
  • Welche Informationen haben Ihnen gefehlt?
  • Warum waren diese Informationen für Sie wichtig?
  • Welche konkreten Nachteile sind durch die verspätete Auskunft entstanden?
  • Hat die Verzögerung bestimmte Entscheidungen oder die Wahrnehmung Ihrer Rechte erschwert?
  • Welche Belastungen sind dadurch tatsächlich entstanden?

Sie müssen nicht zwangsläufig eine ärztlich festgestellte Erkrankung nachweisen, um einen immateriellen Schaden geltend machen zu können.

Eine bloß abstrakte Befürchtung oder die allgemeine Verärgerung über die Fristüberschreitung begründet aber nicht ohne Weiteres einen ersatzfähigen Schaden.

Die Umstände des Einzelfalls sind entscheidend.

7. Fazit: Verspätete Auskunft kann Geld kosten – aber nicht automatisch

Wer Auskunft nach Art. 15 DSGVO verlangt, muss sich nicht unbegrenzt vertrösten lassen.

Grundsätzlich ist die Auskunft innerhalb eines Monats zu erteilen. Eine Verlängerung ist nur unter bestimmten Voraussetzungen möglich.

Bleibt die Antwort aus oder erfolgt sie erheblich verspätet, kann dies einen Datenschutzverstoß darstellen.

Das Urteil des OLG Köln zeigt, dass daraus auch ein Schadensersatzanspruch entstehen kann.

Allerdings gibt es keinen festen Entschädigungsbetrag für verspätete Auskünfte. Entscheidend ist, welche konkreten Nachteile Ihnen durch die Verzögerung entstanden sind.

Wer seine Rechte durchsetzen möchte, sollte deshalb den Auskunftsantrag, den zeitlichen Ablauf und mögliche Beeinträchtigungen sorgfältig dokumentieren.

8. Häufige Fragen

Wie lange muss ich auf eine DSGVO-Auskunft warten?

Grundsätzlich höchstens einen Monat ab Eingang Ihres Antrags. Unter bestimmten Voraussetzungen kann das Unternehmen die Frist um bis zu zwei weitere Monate verlängern.

Bekomme ich automatisch 500 Euro, wenn das Unternehmen zu spät antwortet?

Nein. Die Entscheidung des OLG Köln betrifft einen konkreten Einzelfall. Ein Schadensersatzanspruch setzt unter anderem einen tatsächlich entstandenen Schaden voraus.

Kann ich Schadensersatz verlangen, obwohl mir kein finanzieller Verlust entstanden ist?

Ja. Art. 82 DSGVO erfasst auch immaterielle Schäden. Ob ein solcher Schaden vorliegt, muss anhand der konkreten Umstände geprüft werden.

Muss ich einen Anwalt einschalten, um Auskunft zu verlangen?

Nein. Sie können Ihren Auskunftsanspruch selbst geltend machen. Für die Formulierung des Antrags ist grundsätzlich keine anwaltliche Unterstützung erforderlich.

Was mache ich, wenn das Unternehmen überhaupt nicht antwortet?

Sie können sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren und gegebenenfalls gerichtliche Schritte zur Durchsetzung Ihres Auskunftsanspruchs prüfen.

Kann ich verlangen, dass mir das Unternehmen alle Unterlagen über mich zusendet?

Nicht pauschal. Sie haben Anspruch auf Auskunft und eine Kopie der personenbezogenen Daten. Ob dafür auch vollständige Dokumente herausgegeben werden müssen, hängt von den Umständen ab.

Quellen und Rechtsgrundlagen