Auch in Gesprächsnotizen finden sich Daten

In einem jetzt vom Oberlandesgericht (OLG) Köln entschiedenen Fall hatte ein Kunde von einem Unternehmen Auskunft über alle dort gespeicherten personenbezogenen Daten verlangt, u.a. auch solche in Gesprächsnotizen. Das Unternehmen verweigerte sich u.a. mit dem Argument, dass in einer Gesprächsnotiz keine personenbezogenen Daten enthalten seien und der Aufwand, aufgrund eines Auskunftsanspruch alle Quellen zu durchsuchen, außergewöhnlich hoch sei.

Das Gericht hat jetzt aber dem Kunden Recht gegeben. An dem Urteil kann man erkennen, wie sehr ein Datenverarbeiter aufpassen muss.

Das Oberlandesgericht Köln hat zunächst den Umfang klargestellt, was personenbezogene Daten sein können:

“Unter die Vorschrift fallen damit sowohl im Kontext verwendete persönliche Informationen wie Identifikationsmerkmale (z.B. Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (z.B. Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Auch solche Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf.“

Das bedeutet, dass auch Aussagen in Gesprächsvermerken oder Telefonnotizen personenbezogene Daten sind bzw. sein können.

Es ist nur jedem Unternehmer dringend zu empfehlen, sich über das Ausmaß des “Personenbezugs” Klarheit zu verschaffen. Denn nur dann ist ihm möglich, die Anforderungen der DSGVO und des BDSG zu erfüllen. Denn wer schon am Anfang einen Fehler macht (was sind personenbezogene Daten, wo arbeiten wir damit?), der zieht diesen Fehler auch durch seinen gesamten Datenschutzprozess mit durch.

Es gibt keine belanglosen Daten

Insoweit hat das Oberlandesgericht Köln hervorgehoben, dass es keine zwei Klassen von Daten gibt: Daten sind Daten, egal ob es der Name ist oder eine Aussage in einem Gesprächsvermerk:

“Denn durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten gibt es keine belanglosen Daten mehr. Soweit in Gesprächsvermerken oder Telefonnotizen Aussagen des Klägers oder Aussagen über den Kläger festgehalten sind, handelt es sich hierbei ohne weiteres um personenbezogene Daten.“

Hoher Aufwand ist auch kein Argument

Das Oberlandesgericht Köln hat auch nicht gelten lassen, dass viele Daten auch zu viel Aufwand führt:

“Soweit die Beklagte meint, es sei für Großunternehmen, die wie sie einen umfangreichen Datenbestand verwalten würden, mit den ihr zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich, Dateien auf personenbezogene Daten zu durchsuchen und zu sichern, verfängt dies nicht. Es ist Sache der Beklagten, die sich der elektronischen Datenverarbeitung bedient, diese im Einklang mit der Rechtsordnung zu organisieren und insbesondere dafür Sorge zu tragen, dass dem Datenschutz und den sich hieraus ergebenden Rechten Dritter Rechnung getragen wird.“

Wir kennen das aus der Verkehrssicherungspflicht: Nur weil eine Sicherheitsmaßnahme aufwendig oder teuer ist, heißt das nicht, dass der Veranstalter sie nicht durchführen müsste.

Es gehört zum Datenschutzkonzept eines Unternehmens, dass man auf Ansprüche des Betroffene vorbereitet ist. In dem oben beschriebenen Fall hat ein Kunde den sog. Auskunftsanspruch geltend gemacht (Art. 15 DSGVO). Hier muss schon im Vorfeld ein Prozess aufgestellt werden, damit auch die Mitarbeiter wissen, wie sie mit einem solchen Anspruch umgehen sollen.