Stellvertretung beim Auskunftsrecht zulässig
Immer wieder wird von Verantwortlichen behauptet, das Auskunftsrecht nach Art. 15 DSGVO könne nur in eigener Person geltend gemacht werden und eine Vertretung durch einen Rechtsanwalt sei nicht zulässig. Diese Auffassung ist falsch.
Auskunftsrecht ist kein höchstpersönliches Recht
Auch 2022 erreichten die Datenschutzbehörde eine Vielzahl von Beschwerden zum Recht auf Auskunft nach Art. 15 DSGVO. Vielfach richteten sich die Beschwerden gegen Verantwortliche, die die Auskunft nicht oder vermeintlich nicht vollständig erteilt haben. In einem erwähnenswerten Einzelfall trug ein Rechtsanwalt eine Beschwerde gegen ein in Niedersachsen ansässiges Versicherungsunternehmen vor. Der Rechtsanwalt wurde von seinem Mandanten beauftragt, eine Auskunft nach Art. 15 DSGVO von dem Versicherungsunternehmen einzuholen, bei dem der Mandant Versicherungsnehmer war.
Der Rechtsanwalt hatte bei der Versicherung bereits zuvor eine von seinem Mandanten unterzeichnete Prozessvollmacht und Vollmacht zur außergerichtlichen Vertretung vorlegt, um in der Hauptsache Forderungen aus dem bestehenden Versicherungsvertrag durchzusetzen. Die Vollmacht beinhaltete u. a. aber auch die Abgabe und den Empfang von einseitigen Willenserklärungen und Vornahme einseitiger Rechtsgeschäfte und auch die Entgegennahme von Zustellungen. Das Versicherungsunternehmen antwortete dem Rechtsanwalt innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO, dass es sich einer Auskunft nach Art. 15 DSGVO um ein höchstpersönliches Recht handelt und deswegen keinerlei Korrespondenz in dieser Sache mit dem Anwalt erfolgt.
Im Rahmen des daraufhin eingeleiteten Prüfverfahrens trug die Versicherung auch der Datenschutzbehörde gegenüber vor, dass sie der Auffassung ist, es handele sich bei dem Recht auf Auskunft um ein höchstpersönliches Recht, dieses könne nur selbst geltend gemacht werden. Eine Vertretung sei deshalb ausgeschlossen und aufgrund dessen wäre eine Auskunft nach Art. 15 DSGVO auch nur an den Betroffenen selbst übermittelt. Eine Vertretung, auch durch einen Rechtsanwalt, sei nicht möglich, so die Versicherung. Die vorgelegte Vollmacht des Rechtsanwalts würde hieran nichts ändern, da diese keine Einwilligung in eine Datenweitergabe durch die Versicherung an bzw. die Datenentgegennahme durch den Rechtsanwalt einschließen würde und somit eine Übersendung der Auskunft an den Rechtsanwalt nicht datenschutzkonform wäre, da keine der Voraussetzungen des Art. 6 Abs. 1 DSGVO erfüllt sei.
Verhaltensregeln ändern nicht die DSGVO
Ferner beruft sich die Versicherung auf den Code of Conduct (CoC, Verhaltensregeln) der Versicherungswirtschaft, dem die Versicherung beigetreten wäre. In diesem hieße es u. a., dass nur die berechtigte Person Auskunft erhält und auch wenn ein Bevollmächtigter sie verlangt, die Auskunft nur der betroffenen Person oder ihrem gesetzlichen Vertreter erteilt wird. (vgl. Art. 23 Abs. 4 des CoC der Versicherungswirtschaft). Dementsprechend habe die Versicherung gehandelt und die Auskunft unmittelbar an ihren Versicherungsnehmer übersandt.
Die grundlegende Auffassung des Versicherungsunternehmens teilt die dAtenschutzaufsicht nicht. Gründe, die die vorgelegte Vollmacht ungenügend erscheinen lassen, sind nicht gegeben, da es hinsichtlich der Ausgestaltung einer Vollmacht zur Einholung einer Auskunft in der DSGVO keine Regelung gibt. Das Auskunftsrecht nach Art. 15 DSGVO ist kein Recht, bei dem eine Stellvertretung ausgeschlossen ist. Eine Stellvertretung nach §§164 ff. BGB ist zulässig, sodass ein Verantwortlicher einen Bevollmächtigten nicht mit dem Hinweis abweisen darf, dass ausschließlich der Betroffene selbst seine Rechte geltend machen kann. Auch der Hinweis des Versicherungsunternehmens auf den CoC der Versicherungswirtschaft kann hier nicht als rechtliche Grundlage dienen, da es sich hierbei lediglich um eine freiwillige Selbstverpflichtung der Versicherungswirtschaft handelt, die höherrangiges Recht, also die DSGVO und auch das BDSG nicht zu ändern vermag. Für den CoC liegt zudem seitens der Aufsichtsbehörden (bisher) keine Genehmigung vor, sodass der CoC keine Wirksamkeit entfalten kann.
Im vorliegenden Fall wurde das aufsichtsbehördliche Verfahren allerdings eingestellt, da die Versicherung zwar die Vollmacht als nicht ausreichend verwarf, aber den durch den Rechtsanwalt gestellten Antrag auf Auskunft akzeptiert und die Auskunft dem Versicherungsnehmer innerhalb der verlängerten Frist des Art. 12 DSGVO unmittelbar übersandt und den bevollmächtigten Rechtsanwalt darüber in Kenntnis gesetzt hat.
Dem Anliegen des Betroffenen, nämlich dem Erhalt einer Auskunft nach Art. 15 DSGVO, wurde demnach fristgerecht nachgekommen, sodass die Datenschutzbehörde nicht weiter tätig werden musste.
Quelle: LfD Niedersachsen
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter. Alles zu IT-Betrieb, IT-Sicherheit und Administration von Websites
- Tragbarer Tresor für die Reise zum Schutz von Wertsachen
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
Dieser Absatz enthält Affiliatelinks/Werbelinks