Ein Bankkunde brauchte bestimmte Buchungszeilen seines Girokontos wegen eines Rechtsstreites mit seiner Hausverwaltung. Da er online lediglich die Überweisungsnachweise für ein Jahr einsehen konnte, hatte er die Bank um die Übermittlung der Nachweise für die übrigen Jahre ersucht. Die Bank teilte ihm mit, dass sie dafür EUR 120,-- verrechnen würde (EUR 30,-- pro Jahr).
Er stellte daraufhin bei der Bank ein datenschutzrechtliches Auskunftsbegehren, das auf diese Buchungszeilen eingeschränkt war, um Kosten für die Übermittlung von Duplikaten von Kontoauszügen zu vermeiden. Die Bank erfüllte das Auskunftsbegehren nicht, mit dem Argument, dass dem Kunden die Möglichkeit zusteht, Duplikate von Kontoauszügen kostenpflichtig zu erhalten. Der Bankkunde machte eine Verletzung seines datenschutzrechtlichen Anspruchs auf Auskunft geltend.
Die Datenschutzbehörde (DSB) stellte eine Verletzung des Auskunftsrechts nach Art 15 DSGVO fest. Dies wurde nun vom Bundesverwaltungsgericht (BVwG) bestätigt.
Anwendbares Recht
Der Bankkunde stellte das Auskunftsbegehren am 28.11.2017 nach § 26 DSG 2000. Die DSGVO ist seit 25.5.2018 in Geltung. Gemäß § 69 Abs 3 DSG sind Verfahren, die zum Zeitpunkt des Inkrafttretens des DSG bei der DSB oder bei den ordentlichen Gerichten zum DSG 2000 anhängig waren, nach den Bestimmungen des DSG und der DSGVO fortzuführen.
Zuständigkeit der Datenschutzbehörde
Die Bank machte geltend, dass die Datenschutzbehörde nicht zuständig war, da der Kunde ein Begehren nach ZaDiG 2018 auf Herausgabe kostenpflichtiger Dokumente gestellt hatte, die er entgegen der Bestimmungen des ZaDiG 2018 unentgeltlich erhalten mochte. Für Anträge nach ZaDiG 2018 sei die DSB aber nicht zuständig.
Dieses Argument ließ das BVwG nicht gelten: Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der DSB, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten ua gegen die DSGVO verstößt. Der Bankkunde hatte ausdrücklich einen Antrag nach § 26 DSG 2000 (nunmehr Art 15 DSGVO) gestellt.
Auch die tatsächlichen Beweggründe des Bankkunden, dh ob er - wie die Bank behauptet - das Auskunftsbegehren nur gestellt hat, weil ihm für die neuerliche Übermittlung von "Kontoauszügen" eine Gebühr verrechnet worden wäre, könnte nichts daran ändern, dass der Bankkunde tatsächlich ein Auskunftsbegehren gestellt hat.
Auskunftsbegehren
Gemäß Art 15 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall so hat sie ua ein Recht auf Auskunft über diese personenbezogenen Daten und auf Kopie der personenbezogenen Daten. Die Bank hat auf dem Kunden die angefragten Informationen nicht mitgeteilt. Sie hat daher nicht in der in Art 15 DSGVO vorgesehenen Weise reagiert.
Verhältnis zum ZaDiG 2018
Einerseits sieht das ZaDiG vor, dass der Zahlungsdienstleister dem Zahler bzw Zahlungsempfänger bestimmte durch das Gesetz nähere definierte Informationen mitzuteilen hat, andererseits werden betroffenen Personen nach der DSGVO Informationsrechte nach Artt 13 und 14 DSGVO und das Auskunftsrecht nach Art 15 DSGVO eingeräumt.
Besondere Bestimmungen gehen nach dem Grundsatz lex specialis derogat legi generali in den Situationen, die sie spezifisch regeln sollen, allgemeinen Bestimmungen vor. Im Falle des Vorliegens von spezialgesetzlichen Auskunfts- und Einsichtsrechten kann das Auskunftsrecht nach Art 15 DSGVO somit nur subsidiär ausgeübt werden. Es ist aber bei der Prüfung nach einer etwaigen Kollision von Rechten zwischen Informationspflichten/-rechten einerseits und Auskunftsrechten andererseits zu unterscheiden.
Im Unterschied zu den Informationspflichten, zB nach Artt 13 und 14 DSGVO, muss der Verantwortliche nämlich nur dann Auskunft erteilen, wenn die betroffene Person von ihrem Auskunftsrecht Gebrauch macht. Sie muss sich die gewünschten Informationen abholen, wohingegen der Datenverarbeiter in Hinblick auf seine Informationspflichten von sich aus "aktiv Transparenz" herstellen muss. Es ist also zwischen Informationspflichten uns Auskunftsrechten zu unterscheiden.
Tatsächlich räumt das ZaDiG 2018 keine Auskunfts- und Einsichtsrechte sondern ausschließlich Informationsrechte ein, die mit dem Auskunftsrecht nach Art 15 DSGVO nicht kollidieren: Zwar setzt die Übermittlung von bestimmten Informationen zu einzelnen Zahlungsvorgängen in Form von "Kontoauszügen" nach § 53 Abs 2 und 3 sowie § 54 Abs 2 und 3 ZaDiG ein Verlangen, und somit ein "aktives Tun" des Zahlungsdienstenutzers voraus. Dennoch wird dadurch kein Auskunftsrecht eingeräumt. Dem Zahlungsdienstenutzer wird damit nämlich lediglich ermöglicht, die Form, in der die Informationspflichten nach §§ 53 Abs 1 und 54 Abs 1 ZaDiG 2018 erfüllt werden, zu bestimmen.
Da die etwaige Erfüllung von Informationspflichten - hier nach ZaDiG 2018 - nicht zum Verlust des Auskunftsrechtes der betroffenen Personen nach Art 15 DSGVO führen kann, bestehen die Rechte nebeneinander. Der Bankkunde kann das Recht auf Auskunft nach Art 15 DSGVO somit unabhängig davon ausüben, ob die Bank ihren Pflichten nach ZaDiG 2018 nachgekommen ist oder nicht.
Unbegründeter Antrag?
Die Bank machte geltend, dass der Bankkunde den Antrag auf Auskunft nach der DSVGO zur Vermeidung von Kosten stellte und daher unberechtigt sei.
Gem Art 12 Abs 5 zweiter Satz DSGVO kann bei offenkundig unbegründeten oder - insb im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person der Verantwortliche entweder a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder der Durchführung der beantragten Maßnahme berücksichtigt werden, oder b) sich weigern, aufgrund des Antrages tätig zu werden. Bei Erstanträgen darf nur in den seltensten Fällen ein "offensichtlich unbegründeter" Antrag angenommen werden. Ein Auskunftsbegehren nach Art 15 DSGVO ist nicht zu begründen.
In Anwendung dieser Grundsätze ist im konkreten Fall das Auskunftsverlangen nicht offensichtlich unbegründet. Dass der Bankkunde hier die Kosten für die Ausfolgung von Duplikaten von Kontoauszügen durch das Recht auf datenschutzrechtliche Auskunft vermeiden wollte, ist nicht als evidente Überschreitung seiner Betroffenenrechte zu sehen.
Die Entscheidung ist rechtskräftig.
Bundesverwaltungsgericht 24.5.2019, W258 2205602-1/8E
