Auskunftserteilung durch Bank über die Verarbeitung personenbezogener Daten

AG Seligenstadt – Az.: 1 C 7/19 (3) – Urteil vom 23.06.2020

1. Die Klage wird abgewiesen.

2. Die Kosten des Rechtsstreits haben die Klägerinnen zu tragen.

3. Das Urteil ist vorläufig vollstreckbar. Den Klägerinnen bleibt vorbehalten, die Vollstreckung der Beklagten gegen Sicherheitsleitung in Höhe von 110 % des aufgrund des Urteils zu vollstreckenden Betrags abzuwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in gleicher Höhe leistet.

Tatbestand

Die Beklagte ist eine Sparkasse und führte bis Dezember 2018 die Konten der Klägerinnen. Von der Beklagten sind sämtliche Immobilien der Klägerinnen durch Bestellung von Grundschulden belastet.

Die Beklagte betreibt aus laufender Geschäftsverbindung die Zwangsvollstreckung gegen die Klägerin zu 1. durch Zwangsversteigerung deren Immobilien.

Die Klägerin zu 2. ist ehemalige Kundin bei der Beklagten. Die Beklagte hat die Geschäftsverbindung am 23.03.2011 gekündigt und betreibt wegen einer aus der Geschäftsverbindung der Höhe nach streitigen Forderung die Zwangsvollstreckung gegen beide Klägerinnen durch Zwangsversteigerung, insbesondere deren Eigenheims.

Die Klägerinnen forderten die Beklagte mit anwaltlichem Schreiben vom 20.11.2017 zur Auskunft über Art und Umfang der bei ihr gespeicherten personenbezogenen Daten der Klägerinnen und die zu speichernden Daten auf. Hinsichtlich der Auflistung der Fragen seitens der Klägerinnen wird auf deren Anschreiben an die Beklagte (Bl. 7 GA) verwiesen.

Mit Schreiben vom 27.12.2017 und nochmals vom 17.01.2019 erteilte die Beklagte Auskunft, woraufhin die Klägerinnen diese Auskunft als unvollständig rügten und zur Nachbesserung aufforderten. Dies lehnte die Beklagte jedoch ab mit der Begründung, die von den Klägerinnen begehrten Informationen würden deutlich über den Umfang des gemäß § 34 BDSG-alt bzw. Art. 15 DS-GVO zustehenden Auskunftsanspruchs hinausgehen (schriftliche Korrespondenz der Klägerinnen mit der Beklagten zwischen dem 20.11.2017 und 17.12.2018 auf Bl. 7 ff. GA sowie weitere Korrespondenz im Jahr 2019 auf Bl. 141 ff. GA).

Die Klägerinnen sind der Ansicht, die bisher erteilte Auskunft durch die Beklagte sei keine vollständige Datenauskunft gemäß Art. 15 DS-GVO. Die erteilte Auskunft sei zu allgemein gefasst und nicht ausreichend auf die klägerischen personenbezogenen Daten konkretisiert worden.

Insbesondere sind die Klägerinnen der Ansicht, die Beklagte sei gemäß § 15 DS-GVO dazu verpflichtet, alle verwendeten Verarbeitungsmittel, das heißt die Art der Datenträger und etwaige Cloudspeicher, auf denen die personenbezogenen Daten der Klägerinnen gespeichert sind, offenzulegen.

Auch sind die Klägerinnen der Ansicht, sie hätten gegen die Beklagte einen Anspruch auf Darlegung der Daten, geordnet nach zeitlicher Abfolge und Kategorien für die Art und den Zweck der Verwendung.

Die Klägerinnen sind der Ansicht, die Beklagte sei auch verpflichtet, ihnen die Personen mitzuteilen, an die konkret ihre Daten weitergeleitet wurden. Eine allgemeine Information, an wen die Beklagte grundsätzlich Daten weitergibt, reiche hierzu nicht aus.

Des Weiteren sind die Klägerinnen der Ansicht, die Beklagte sei gemäß Art. 15 DS-GVO auch dazu verpflichtet, mitzuteilen, welche personenbezogenen Daten der Klägerinnen von ihr in der Vergangenheit gelöscht wurden.

Außerdem sind die Klägerinnen der Ansicht, die Beklagte müsse auch alle internen Gesprächsprotokolle und Notizen, in denen die personenbezogenen Daten erwähnt wurden, offenlegen. So sei sie auch verpflichtet, den Inhalt des Gesprächs über die Grundstücke der Klägerinnen an den kaufinteressierten Sportverein JSK R. und den Bürgermeister der Stadt R., mitzuteilen. Dass bei diesem Gespräch der Klägervertreter anwesend war, sei irrelevant.

Ursprünglich haben die Klägerinnen mit Klageantrag zu 1. die Auskunftserteilung gemäß § 15 DS-GVO und mit Klageantrag zu 2. die Erstattung der vorgerichtlichen Kosten beantragt. Mit Schreiben vom 01.10.2019 (Bl. 191 ff. GA) haben die Klägerinnen hilfsweise die Versicherung an Eides statt im Wege der Stufenklage beantragt.

Die Klägerinnen beantragen nunmehr,

1. die Beklagte zu verurteilen, den Klägerinnen folgende Auskünfte nach Art. 12 III DS-GVO zu erteilen:

• Alle die Klägerinnen betreffenden persönlichen Daten, einschließlich der Daten, die sich auf Vermögensgegenstände, insbesondere Grundstücke beziehen,
• Alle Daten, die zu Verarbeitungszwecken zu den Klägerinnen gespeichert werden, wo diese gespeichert werden und wer auf die gespeicherten Daten Zugriff hat. Externe Speicher sind anzugeben und wer auf diese Speicher Zugriff hat und wer Daten kopieren kann. Dabei sind auch die Datenspeicher der Sparkassenverbände anzugeben. Ferner ist Auskunft zu erteilen, welche Daten über Clouddienste gespeichert werden.
• Gesondert sind die Daten auszuweisen, die die Klägerinnen betreffen und in den letzten zwölf Monaten geändert oder gelöscht worden sind.
• Die Kategorien der die Mandanten betreffenden Daten, die verarbeitet werden, mit Gruppenbezeichnungen, zum Beispiel Bonitätsdaten.
• Die Empfänger und auch die Kategorien von Empfängern, die Daten der Klägerinnen bereits erhalten haben oder Daten erhalten sollen, welche Daten die Empfänger erhalten haben, weshalb die Empfänger die Daten erhalten haben, unter Angabe von Name und Anschrift der Empfänger und Datum der Abgabe der Information.
• Die geplante Speicherdauer, soweit nicht möglich, die Kategorien der Speicherdauer.
• Die Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung.
• Über das Beschwerderecht über betroffene Personen bei der Aufsichtsbehörde.
• Herkunft der Daten, soweit diese nicht von der Sparkasse selbst erhoben wurden, unter Angabe von Name und Anschrift der Informationsquelle, auch der Datenbanken, aus denen Daten bezogen worden sind, einschließlich der in Telefonnotizen festgehaltenen Daten.
• – Das Bestehen einer automatisierten Entscheidungsfindung einschließlich des Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie Tragweite und die angestrebten Auswirkungen solcher Verfahren.

2. die Beklagte zu verurteilen, den Klägerinnen vorgerichtliche Kosten in Höhe von 176,12 Euro zu erstatten.

Hilfsweise beantragen die Klägerinnen im Wege einer Stufenklage,

1. die Beklagte, vertreten durch jeden ihrer Vorstände Z., K., T., W. und Z. und durch den Datenschutzbeauftragten H. zu verurteilen, die Erklärung der Beklagten im Schriftsatz vom 25.09.2019, Seite 2 unter 1.1 und Seite 3 unter 1.2.3 „Beide Auskünfte wurden für beide Klägerinnen am 27.12.2017 (in dem von § 34 BDSG-alt geforderten Umfang) und am 17.01.2019 (in dem von Art. 15 DS-GVO geforderten Umfang) erteilt. Es wurden keine anderen personenbezogenen Daten als die in der Auskunft enthaltenen übermittelt oder empfangen. Weitere Daten zu der Klägerin zu 1. existieren nicht bei der Beklagten und können mithin auch nicht verarbeitet werden und hinsichtlich der Klägerin zu 2. existieren nur weitere Daten rund um Freistellungsaufträge sowie Informationen zum Kirchensteuersatz“ an Eides statt zu Protokoll zu versichern.

2. die Beklagte, vertreten durch ihre Vorstände Z., K., T., W. und Z. und durch den Datenschutzbeauftragten H. zu verurteilen, klarstellend und konkretisierend an Eides statt zu Protokoll zu versichern: mit personenbezogenen Daten – keiner der Klägerinnen – sind keine Gespräche mit Dritten, insbesondere weder mit Vertretern des JSK R. noch mit Vertretern der Stadt Rodgau geführt worden.

Die Beklagte beantragt, die Klage abzuweisen.

Die Beklagte ist der Ansicht, sie habe mit Schreiben vom 27.12.2017, jedenfalls mit Schreiben vom 17.01.2019, die Auskunft gemäß § 15 DS-GVO vollständig erteilt. Alle mit diesem Schreiben nicht beantworteten Fragen der Klägerinnen seien nicht von der Norm erfasst und es gebe keine Verpflichtung seitens der Beklagten, diese Fragen zu beantworten.

Wegen des weiteren Sach- und Streitstandes wird auf den Inhalt der zwischen den Parteien gewechselten Schriftsätze nebst Anlagen, sowie auf das Protokoll der öffentlichen Sitzung vom 8.10.2019 Bezug genommen.

Entscheidungsgründe

Die Klage ist zulässig, aber unbegründet.

Das Amtsgericht Seligenstadt ist gemäß § 23 Nr. 1 GVG sachlich und gemäß §§ 12, 17 I ZPO örtlich zuständig.

Die Beklagte ist als kontoführendes Institut Verantwortliche gemäß Art. 4 Nr. 7 DS-GVO wegen der von den Klägerinnen durch die Beklagte verarbeitenden personenbezogenen Daten. Die Klägerinnen haben grundsätzlich einen Anspruch auf Auskunftserteilung über die Verarbeitung ihrer personenbezogenen Daten gemäß Art. 12 III DS-GVO im Umfang des Art. 15 DS-GVO.

Diese Auskunft hat die Beklagte jedoch bereits vollständig erteilt. Ein weitergehender Auskunftsanspruch besteht nicht.

Gemäß § 4 Nr. 1 DS-GVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören vor allem Kennungen wie Name und Adresse sowie Kennnummern unter denen Informationen gespeichert werden. Die Auskunft der Beklagten enthält zunächst einen allgemeinen Teil, indem die Verarbeitung personenbezogener Daten durch ein Frage-Antwort-System erklärt wird. Sodann wurden den Klägerinnen Auszüge über ihre konkreten personenbezogenen Daten aufgelistet. Diese sind unterteilt in Personendaten, Vertragsdaten, Vermögensobjekte und Sicherheiten sowie SCHUFA-Auskünfte und unter der jeweiligen Personennummer gespeichert. Art, Dauer und Zweck der Verarbeitung dieser konkreten Daten ergeben sich aus dem allgemeinen Teil der Auskunft. Durch die Verbindung dieser zwei Teile können die Klägerinnen die Verarbeitung ihrer personenbezogenen Daten nach der Überzeugung des Gerichts, in präziser, transparenter und verständlicher Weise nachvollziehen, Art. 12 I 1 DS-GVO.

Die Klägerinnen wurden bei den Gesprächen mit den potenziellen Käufern ihrer Grundstücke ordnungsgemäß vertreten und müssten daher den Inhalt dieser Gespräche kennen. Der Auskunftsanspruch bezieht sich nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtliche Kommunikation, die ihr bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann (vgl. LG Köln, 26 O 25/18 Rn. 19, juris).

Benötigen Sie Hilfe vom Anwalt? Schildern Sie uns Ihr Anliegen und fordern online unsere unverbindliche Ersteinschätzung an.

Da bereits interne Vermerke und Vorgänge nicht unter den Auskunftsanspruch des Art. 15 DS-GVO fallen, ist die Beklagte erst recht nicht dazu verpflichtet, die Datenträger und etwaige Cloudspeicher, die sie für die Datenspeicherung nutzt, offenzulegen. Dem Wortlaut des Art. 15 I DS-GVO nach, sollen dem Betroffenen die Verarbeitungszwecke sowie Drittempfänger der Daten und die Dauer der Datenspeicherung (lit. a-d) mitgeteilt werden. Die Norm beinhaltet keine Verpflichtung, auch die Verarbeitungsmittel darzulegen. Dies würde das Recht der Verpflichteten verletzten, ihre internen Angelegenheiten geheim zu halten. Des Weiteren ergibt sich aus Art. 30 IV DS-GVO, dass nur der Aufsichtsbehörde die Einsicht in das interne Verarbeitungsverzeichnis zu gewähren ist. Ein solches Verzeichnis soll Art. 4 Nr. 2 DS-GVO entsprechend jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten dokumentieren. Anders als im Bundesdatenschutzgesetz, das von der europäischen Datenschutzgrundverordnung abgelöst wurde, hat nicht (mehr) jedermann ein solches Einsichtsrecht in das Verarbeitungsverzeichnis. Es ist nicht Aufgabe des Betroffenen, die Einhaltung der Vorschriften der Datenschutzgrundverordnung zu kontrollieren, sondern eben die der Aufsichtsbehörde. Die Verwehrung gegenüber dem Betroffenen berührt nicht die Informations- und Auskunftsrechte bezüglich seiner personenbezogenen Daten (vgl. Plath, DSGVO/BDSG, 3. Aufl. 2018, Art. 30 DSGVO, Rn. 11). Das Auskunftsrecht des Betroffenen ist eine Vorstufe, um dessen Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung (Art. 16-18 DS-GVO) durchsetzen zu können. Er hat jedoch keinen Anspruch darauf, dass die Verpflichtete ihre IT-Sicherheit verbessert oder ändert.

Auch ist die Beklagte nicht verpflichtet, die Dateien zeitlich, sowie nach Art und dem Zweck der Verwendung zu sortieren. Eine allgemeine Kategorisierung, wie sie die Beklagte nach Datenarten (Personendaten, Vertragsdaten usw.) vorgenommen hat, erfüllt die Anforderungen des Art. 15 I lit. b DS-GVO (Schaffland/Holthaus in: Schaffland/Wiltfang, DS-GVO/BDSG, Art. 15 DS-GVO, Rn. 22, juris).

Die Klägerinnen haben auch keinen Anspruch auf Mitteilung über bereits gelöschte Daten. Es besteht zwar ein Anspruch auf Löschung der Daten gemäß Art. 17 I DS-GVO, soweit dessen Voraussetzungen vorliegen. Weder diese Norm noch die des Art. 15 DS-GVO beinhaltet jedoch auch die Pflicht, Auskunft darüber zu erteilen, welche Daten in welchem Zusammenhang in der Vergangenheit bereits gelöscht wurden.

Des Weiteren ist es ausreichend, Kategorien von Drittempfängern zu nennen. Dem ist die Beklagte durch Punkt 3 der Auskunft vom 27.12.2017 (Bl. 15 bzw. Bl. 28 GA) und Punkt 4 der Auskunft vom 17.01.2019 (Bl. 143 bzw. Bl. 156 GA) ausreichend nachgekommen. Sie hat gemäß Art. 15 I lit. c DS-GVO gerade die Wahl zwischen der Nennung von Kategorien oder konkreten Empfängern (vgl. Schaffland/Holthaus in: Schaffland/Wiltfang, DS-GVO/BDSG, Art. 15 DS-GVO, Rn. 23, juris).

Weitere Rügen bezüglich Fehler und Unvollständigkeiten bei der Auskunftserteilung haben die Klägerinnen nicht substantiiert dargelegt.

Mangels Pflichtverletzung oder Verzug haben die Klägerinnen auch keinen Anspruch auf Erstattung ihrer vorgerichtlichen Rechtsanwaltskosten.

Auch der Hilfsantrag ist zulässig, aber unbegründet.

Die Klägerinnen haben keinen Anspruch auf Abgabe einer eidesstattlichen Versicherung über die Vollständigkeit der Auskunft zur Verarbeitung ihrer personenbezogenen Daten.

Nach der Auffassung des Gerichts sind keine Anhaltspunkte dafür ersichtlich, dass das Verzeichnis nicht mit der erforderlichen Sorgfalt aufgestellt worden ist. Wie oben festgestellt, ist das Gericht vielmehr davon überzeugt, dass die Beklagte ihren Auskunftspflichten vollständig nachgekommen ist, § 286 I ZPO.

Die Kostenentscheidung ergeht gemäß §§ 91 I, 100 I ZPO.

Die Entscheidung zur vorläufigen Vollstreckbarkeit beruht auf §§ 708 Nr. 11, 711 ZPO.

Die folgenden rechtlichen Bereiche sind u.a. in diesem Urteil relevant

1. Rechtsgebiet: Datenschutzrecht; Rechtsnorm: Datenschutz-Grundverordnung (DS-GVO): Der zentrale Punkt des vorgelegten Falles dreht sich um das Datenschutzrecht. Insbesondere geht es um die Verpflichtung der Beklagten (der Sparkasse) zur Auskunftserteilung über die Verarbeitung personenbezogener Daten der Klägerinnen gemäß Artikel 15 DS-GVO. Nach diesem Artikel haben Betroffene das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, haben die Betroffenen ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in Art. 15 Abs. 1 DS-GVO aufgeführten Informationen. In diesem Fall fordern die Klägerinnen insbesondere Auskunft über die Art und Umfang der bei der Sparkasse gespeicherten personenbezogenen Daten und die zu speichernden Daten, geordnet nach zeitlicher Abfolge und Kategorien für die Art und den Zweck der Verwendung.
2. Rechtsgebiet: Zivilprozessrecht; Rechtsnorm: Zivilprozessordnung (ZPO): In diesem Fall spielen auch zivilprozessrechtliche Vorschriften eine Rolle. Im Kontext der gerichtlichen Durchsetzung des Anspruchs auf Auskunftserteilung könnte es um Vorschriften der ZPO gehen, insbesondere um die Stufenklage nach § 254 ZPO. Die Klägerinnen haben die Versicherung an Eides statt im Wege der Stufenklage beantragt. Die Stufenklage ist ein prozessuales Instrument, mit dem mehrstufige Ansprüche (hier: Auskunftsanspruch und anschließend ggf. ein Leistungsanspruch) in einem Verfahren durchgesetzt werden können. Die Klage ist so aufgebaut, dass zuerst die Auskunft eingeholt wird und erst auf dieser Basis weitere Ansprüche geltend gemacht werden.
3. Rechtsgebiet: Bankrecht; Rechtsnorm: Kreditwesengesetz (KWG): Der Kontext des Falles erfordert auch die Berücksichtigung des Bankrechts. Die Beklagte ist eine Sparkasse, die die Konten der Klägerinnen geführt hat. Insbesondere könnten Regelungen des Kreditwesengesetzes (KWG) und die daraus folgenden Pflichten der Banken relevant sein. Auch wenn das KWG in diesem speziellen Fall nicht ausdrücklich erwähnt wird, ist es dennoch im Hintergrund präsent, da die Ausführung von Bankgeschäften und die Pflichten von Banken im KWG geregelt sind.
4. Rechtsgebiet: Vollstreckungsrecht; Rechtsnorm: Zivilprozessordnung (ZPO): Das Vollstreckungsrecht spielt ebenfalls eine Rolle in diesem Fall, da die Beklagte die Zwangsvollstreckung gegen die Klägerinnen durchführt. Die relevanten Normen finden sich in der ZPO, insbesondere die Regeln zur Sicherheitsleistung bei der Abwendung der Vollstreckung. Hier wird erwähnt, dass die Klägerinnen die Vollstreckung der Beklagten gegen Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils zu vollstreckenden Betrags abwenden können.