LAG Hamm zur Zwangsvollstreckung von Auskunftsanfragen – DS News KW 42-2026

Transkript zur Folge:

Herzlich Willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Mein Name ist David Schmidt und bei mir ist...
Gregor Wortberg. Hallo David.
Hallo Gregor. Heute haben wir Freitag, den 16.
Oktober 2026. Unser Redaktionsschluss war um 10 Uhr und wie ihr es gewohnt seid,
schauen wir auch heute wieder gemeinsam mit euch auf die wichtigsten Datenschutzthemen der Woche.
Was hat es bei dir auf den Zettel geschafft, Gregor?
Zwei Themen haben es bei mir diese Woche auf den Zettel geschafft.
Einmal ein Urteil des Verwaltungsgerichts des Hamburg zu Auskunftsrechten bezüglich
des VVT und ein Millionen Bußgeld aus Italien gegen ein Telemarketingunternehmen.
Ich habe mitgebracht ein Urteil des LAG Hamm. Dort geht es um die Vollstreckung
von Auskunftsansprüchen und dann habe ich noch ein Bußgeld aus Norwegen im Petto.
Das Verwaltungsgericht Hamburg zieht mit seinem Urteil aus Juni diesen Jahres
eine klare Grenze beim Informationszugang. Das Verzeichnis von Verarbeitungstätigkeiten
ist nicht über das Informationsfreiheitsgesetz zugänglich.
Eine gesonderte Liste von Auftragsverarbeitern des Unternehmens dagegen schon.
Insbesondere ist dies relevant für öffentliche Stellen und andere informationspflichtige
Einrichtungen im Rahmen des Informationsfreiheitsgesetzes natürlich.
Ausgangspunkt war ein Antrag an eine bundesweit tätige gesetzliche Krankenkasse.
Der Kläger wollte sowohl das Verzeichnis von Verarbeitungstätigkeiten nach Artikel
30 DSGVO als auch eine Liste der Auftragsverarbeiter der Krankenkasse erhalten.
Krankenkasse lehnte beides ab.
Beim Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, hat das Verwaltungsgericht
Hamburg diese Ablehnung auch bestätigt.
Nach Auffassung des Gerichts regelt Artikel 30 Absatz 4 DSGVO abschließend,
wer Zugang zu diesem Verzeichnis bekommt und das ist eben insbesondere die Aufsichtsbehörde auf Anfrage.
In der Regelung sieht das Gericht eben eine spezielle Zugangsregelung,
die dem allgemeinen Informationszugang nach dem Informationsfreiheitsgesetz vorgeht.
Interessant ist dabei auch die etwas historische Begründung.
Vor Geltung der DSGVO gab es ja noch Regelungen, nachdem bestimmte Übersichten
und Datenverarbeitung grundsätzlich von jedermann eingesehen werden konnten.
Ein solches allgemeines Einsatzrecht hat die DSGVO aber dann eben nicht übernommen.
Für das Gericht spricht deshalb einiges dafür, dass der Europäische Gesetzgeber
den Zugang bewusst auch auf Aufsichtsbehörden beschränkt hat.
Anders fällt die Entscheidung bei der Liste der Auftragsverarbeiter aus.
Eine solche gesonderte Liste ist eben nicht Teil des Verzeichnisses von Verarbeitungstätigkeiten.
Und da sperrt die DSGVO auch hier kein Anspruchsrecht, nicht nach dem Informationsfreiheitsgesetz.
Die Krankenkasse hatte zunächst argumentiert, dass eine Veröffentlichung Sicherheitsrisiken
schaffen könnte, unter anderem, weil ihre Auftragsverarbeiter eben auch mit
sensiblen Gesundheitsdaten arbeiten würden.
Das hat dem Gericht als Begründung nicht gereicht. Alleine Informationen,
welche Unternehmen als Auftragsverarbeiter eingesetzt werden,
begründet nach Einschätzung des Gerichts eben noch keine konkrete Gefahr für
die öffentliche Sicherheit oder die Funktionsfähigkeit der Krankenkasse.
Ein Schutz des Verzeichnisses, also des VVT, nach Artikel 30 Absatz 4 lässt
sich eben nicht und weiteres auf andere Unterlagen übertragen,
nur weil sie datenschutzrechtlich vielleicht relevant sind.
Aber gerade bei informationspflichtigen Stellen lohnt sich dann deshalb schon
ein genauer Blick auf die Dokumentenstruktur und die darin abgelegten Informationen.
Ja, spannend. Also vor allem auch spannend, was ich gerade gedacht habe,
wie dann das Verhältnis auch zum 15 ist, DSGVO.
Ob man da nicht auch von einer abschließenden Regelung oder Sperrwirkung ausgehen
kann, habe ich so auch noch nicht drüber nachgedacht.
Das Landesarbeitsgericht Hamm musste sich mit der Vollstreckung von Auskunftsansprüchen
nach eben genau Artikel 15 DSGVO befassen.
Hintergrund waren Vorwürfe sexueller Belästigung.
Ein früherer Arbeitgeber war an den aktuellen Arbeitgeber herangetreten und
hatte von etwaigen Vorwürfen gegen den Arbeitnehmer berichtet.
Davon erfuhr dieser und machte gegen den aktuellen Arbeitgeber seinen Anspruch
auf Auskunft nach Artikel 15 DSGVO geltend.
Der Arbeitgeber erteilte daraufhin die Auskunft über die verarbeiteten Daten,
Verarbeitungszwecke, Empfänger, Herkunft von Daten und überließ dem Arbeitnehmer
außerdem eine Kopie seiner Personalakte und,
Dies reichte dem Arbeitnehmer aber noch nicht, da ihm keine Informationen über
die Vorwürfe, die gegen ihn erhoben wurden, erteilt wurden.
Um dieses Interesse noch durchzusetzen, beantragte er ein Zwangsgeld gegen den
Arbeitgeber und das Arbeitsgericht Dortmund gab ihm zunächst Recht,
setzte ein Zwangsgeld ersatzweise eine Zwangshaft fest,
für den Fall, dass der Arbeitgeber nicht noch die restlichen Unterlagen beauskunftet.
Das Landesarbeitsgericht Hamm hat diese Entscheidung dann aber aufgehoben.
Es kam zu folgender Auffassung, wer eine DSGVO-Auskunft für inhaltlich unvollständig
hält, kann diese Frage nicht im Zwangsvollstreckungsverfahren klären lassen.
Nach Auffassung des Gerichts ist ein Auskunftsanspruch grundsätzlich erfüllt,
wenn der Verantwortliche eine vormal ordnungsgemäße und äußerlich vollständige
Auskunft erteilt und erklärt,
damit den geschuldeten Umfang vollständig abzudecken.
Dass die Auskunft möglicherweise inhaltlich falsch oder tatsächlich unvollständig
ist, reicht für ein Zwangsgeld nicht aus.
Das könne auch durch eine Versicherung an Eides statt sichergestellt werden.
Anders sieht es nur aus, wenn sich der Verantwortliche zu einem Teil des Auskunftsanspruchs,
der ja vorher tituliert war, überhaupt nicht erklärt oder die Auskunft offensichtlich
nicht ernst gemeint, unglaubhaft oder erkennbar unvollständig ist.
Hier hatte man aber eben genau darüber gestritten, ob diese zusätzlichen Informationen
überhaupt noch vom Anspruch erfasst sind.
Im konkreten Fall sah das Landgericht deshalb diese Voraussetzungen nicht als
erfüllt. Der Arbeitgeber hatte mehrfach erklärt, den Anspruch nach seiner Auffassung
vollständig erfüllt zu haben.
Ob darüber hinaus weitere personenbezogene Daten hätten herausgegeben werden
müssen, wollte das Gericht deshalb nicht im Vollstreckungsverfahren prüfen.
Und genau diese Grenze ist dann auch für die Praxis wichtig.
Wer einen Auskunftsanspruch einklagt, sollte möglichst früh überlegen,
welche konkreten Informationen tatsächlich benötigt werden und wie weit sich
das Begehren im Erkenntnisverfahren dann sinnvoll konkretisieren lässt.
Also anhand der Reichweite von Artikel 15 und der Rechtsprechung.
Denn ein allgemein formulierter Titel lässt sich später nicht ohne weiteres
über ein Zwangsgeldverfahren inhaltlich erweitern.
Das bedeutet allerdings auch nicht, dass Betroffene eine möglicherweise falsche
oder unvollständige Auskunft einfach hinnehmen müssen.
Das Landesarbeitsgericht nennt für solche Fälle insbesondere,
wie gesagt, die eidesstattliche Versicherung zur Richtigkeit und Vollständigkeit
der Auskunft als ausreichend.
Aus meiner Sicht zeigt die Entscheidung damit eine wichtige prozessuale Grenze des Auskunftsrechts.
Artikel 15 DSGVO gibt den Betroffenen zwar weitreichende Rechte,
aber das Vollstreckungsfahren ist nicht der Ort, um nachträglich dann jeden
Streit über den Umfang der Auskunft auszutragen.
Für Unternehmen ist es deshalb wichtig, Auskünfte nicht nur tatsächlich sorgfältig
zusammenzustellen, sondern auch eindeutig zu dokumentieren, dass die erteilte
Auskunft aus Sicht des Verantwortlichen den geschuldeten Umfang vollständig abdeckt.
Blicken wir nach Italien. Die italienische Datenschutzaufsicht hat gegen Vintre,
einen italienischen Telekommunikationsanbieter, ein Bußgeld in Höhe von 16,7
Millionen Euro verhängt, weil der Telekommunikationsanbieter unerlaubte Werbeanrufe
und andere rechtswidrige Datenverarbeitungen
in seinem Vertriebsnetz nicht ausreichend verhindert hat.
Ausgangspunkt waren zahlreiche Beschwerden von Betroffenen über unerwünschte Werbekontakte.
Nach Feststellung der Aufsicht wurden Widersprüche gegen Werbung teilweise nicht
wirksam umgesetzt. Außerdem soll es in einzelnen Fällen dazu gekommen sein,
dass Verträge ohne Wissen der betroffenen Person aktiviert und abgeschlossen worden sein sollen.
Eine wichtige Rolle spielt dabei das wohl sehr dezentrale Vertriebsnest von
Vintree mit zahlreichen externen Partnern.
Die Aufsicht machte jedoch deutlich, dass sich ein Unternehmen seiner datenschutzrechtlichen
Verantwortung eben nicht dadurch erziehen kann, dass Vertrieb und Kundenansprache
nach extern ausgelagert werden.
Für die Praxis ist deshalb natürlich umso wichtiger, dass der Verantwortliche,
und das betrifft ja nicht nur das Marketing, seine Dienstleister,
Auftragsverarbeiter, natürlich fortlaufend auch kontrolliert im Rahmen seiner
Kontrollpflichten, aber natürlich auch hinsichtlich seiner operativen Tätigkeiten.
Und das macht der Fall dann auch nochmal sehr deutlich, dass gerade im Vertrieb die,
Die können natürlich auch schnell zu einem datenschutzrechtlichen Risiko führen
können, wenn dort einfach vielleicht im Rahmen von einer kalten Akquise drauf los telefoniert wird.
Mein Bußgeld kommt, wie gesagt, aus Norwegen. Hier ist aber was anderes schief gelaufen.
Die norwegische Datenschutzbehörde hat gegen Microsofts Werbetechnologietochter
Sander ein Bußgeld von 92 Millionen norwegischen Kronen verhängt.
Das sind umgerechnet rund 8,5 Millionen Euro.
Sander hatte personenbezogene Daten von der Dating-Plattform Grindr über dessen
Nutzer erworben und für Werbezwecke genutzt.
Hierfür hatte Sander jedoch keine Rechtsgrundlage.
Betroffen waren auch besonders geschützte Angaben zur sexuellen Orientierung
von tausenden Menschen in Norwegen.
Die Aufsicht betonte nicht nur deshalb, dass Datenempfänger die Rechtmäßigkeit
der Verarbeitung natürlich selbst prüfen müssen und ihre Verantwortung nicht
auf den ursprünglichen Datenlieferanten verlagern können.
Denn der Fall geht auf eine Beschwerde des norwegischen Verbraucherrats und
der Datenschutzorganisation Neub gegen Grindr sowie mehrere Werbeunternehmen zurück.
Werden dazu auch schon berichtet und der Bescheid ist noch nicht rechtskräftig.
Das heißt, noch können Rechtsmittel dagegen eingelegt werden.
Und das waren die News schon für diese Woche. Wie immer bedanken wir uns ganz
herzlich fürs Zuhören und würden uns freuen, wenn ihr uns Feedback gebt und uns treu bleibt.
Ein schönes Wochenende.
Bis bald.