Auch Notizen zu Telefonaten und Gesprächen fallen unter die DSGVO-Auskunftspflicht, wie ein Urteil des Oberlandesgerichts (OLG) Köln zeigt. Demnach können Versicherte über die gesamte sie betreffende Korrespondenz Auskunft verlangen.
Was wurde vor dem Oberlandesgericht in Köln – unter dem Aktenzeichen 20 U 75/18 – verhandelt? Die Klage wurde durch einen Lebensversicherungsvertrag nebst Berufsunfähigkeits-Zusatzversicherung veranlasst, abgeschlossen im Jahr 2000. Der Versicherungsnehmer erkrankte in 2008 an einer schweren Depression, geriet dadurch in Geldnot. Deswegen belieh er seine Police mit einem Darlehen in Höhe von 10.000 Euro.
Auch in 2009, 2011 und 2012 belieh der Erkrankte das Versicherungsunternehmen über ein Policendarlehen, suchte hierfür mehrfach den Vertreter des Lebensversicherers auf. Leistungen für die Berufsunfähigkeits-Zusatzversicherung aber beantragte der Mann nicht: Er wusste schlicht nicht um diese Möglichkeit.
Erst 2014 wurde der Kläger an seine Zusatzversicherung erinnert
Der Zustand des Versicherungsnehmers verschlechterte sich derart, dass er seine Arbeit ganz aufgeben musste. Darüber informierte er den Vermittler – dieser wiederum informierte den Versicherungsnehmer nun tatsächlich über die Möglichkeit, aufgrund der Police eine BU-Rente zu beantragen. Erfolgreich: Im August 2014 wurde die Berufsunfähigkeit nachgewiesen. Ab da bezog der Mann tatsächlich eine BU-Leistung.
Behauptete Falschberatung sollte zum Leistungsanspruch führen
Nun, da der Versicherungsnehmer aber die Zusatzversicherung in Anspruch nahm, fühlte er sich zu lange falsch beraten. Hatte der Vertreter den psychisch Erkrankten doch zuvor nur über die Policendarlehen aufgeklärt, nicht aber über die Möglichkeit eines Antrags auf die Rente. Der Versicherungsnehmer erklärte hierzu, er hätte den Zusatzbaustein seiner Lebensversicherung schlicht vergessen.
Aus Sicht des Versicherungsnehmers hätte der Vertreter schon 2008 auf die Möglichkeit hinweisen müssen, aufgrund einer psychischen Erkrankung eine BU-Rente anstatt eines Policendarlehens zu beantragen. Er forderte demnach Leistungen ab 2008 nebst Schadenersatz, verlangte zudem eine Freistellung von Beiträgen ab 2008 – und klagte vor dem Landgericht Köln, nachdem die Versicherung solche Leistungen für den Zeitraum seit 2008 verweigerte. Vor dem Landgericht erlitt der Kläger in erster Instanz eine Niederlage: Die Klage wurde abgewiesen (Az. 26 O 360/16). Nun musste das Oberlandesgericht Köln in Berufung entscheiden.
Der Vertreter konnte vom Gesundheitszustand des Mannes nichts wissen
Eine Falschberatung hätte in der Tat vorgelegen, wenn der Vertreter bereits 2008 von einer Berufsunfähigkeit seines Kunden ausgegangen wäre. Das aber konnte er gar nicht. Denn zum einen arbeitete der Versicherungsnehmer ja noch bis 2013 weiter – schon das machte eine solche Annahme unwahrscheinlich. Zum anderen sah der Vertreter seinen Kunden zu selten, um mehr von dessen psychischen Zustand zu erfahren.
Der Kläger konnte vor dem Oberlandesgericht nicht einmal ersichtlich machen, ob er sich gegenüber dem Vertreter über seine Krankheit geäußert hat. Liegt aber keine Falschberatung vor, greifen Bedingungen für die Berufsunfähigkeits-Zusatzversicherung aus dem Vertrag. Und diese lauten: Der Versicherungsnehmer muss seinen Anspruch auf die BU-Rente „innerhalb von sechs Monaten schriftlich geltend“ machen. Tut er dies nicht, entsteht „der Anspruch auf die Versicherungsleistungen erst mit Beginn des Monats der Mitteilung“ – und damit erst ab 2014.
Urteil: Kein Anspruch auf Geld, aber auf Datenauskünfte
Demnach wurde die Berufung des Versicherungsnehmers auch vom Oberlandesgericht in großen Teilen zurückgewiesen – bis auf eine Ausnahme. Denn der Versicherungsnehmer klagte auch auf Auskunft zu sämtlichen personenbezogenen Daten, die im Zuge des Lebensversicherungsvertrags erhoben wurden.
Zwar hatte das Unternehmen dem Mann bereits Auskunft zu den gespeicherten Stammdaten gegeben. Der Versicherungsnehmer wollte aber Auskunft zu allen gespeicherten personenbezogenen Daten erhalten – unter anderem auch zu Gesprächsnotizen und Telefonvermerken, die von der Versicherung zur Bearbeitung der Anliegen genutzt wurden.
Das Versicherungsunternehmen hatte einen solchen Auskunftsanspruch in diesem Umfang verneint und berief sich hierfür auf Paragraf 34 Bundesdatenschutzgesetz (BDSG). Im Sinne des Paragrafen besteht ein Recht auf Auskunft für betroffene Personen nicht, sobald a) Daten ausschließlich zu Zwecken der Datensicherung oder der Datenschutzkontrolle erhoben werden und b) sobald die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde. Das Landgericht folgte zunächst der Argumentation des Lebensversicherers.
Den aktuellen Rechtsstand zeigt die DSGVO
Das Oberlandesgericht hingegen änderte das Urteil ab und sprach dem Kläger ein Auskunftsrecht auch für derartige Daten zu. Denn die Begründung über Paragraf 34 Bundesdatenschutzgesetz genügt nicht dem geltenden Recht, sobald Artikel 15 der Datenschutz-Grundverordnung (DSGVO) vernachlässigt wird.
Laut DSGVO aber hat jede „durch personenbezogene Daten identifizierbare oder identifizierte Person“ das Recht, eine Bestätigung darüber zu verlangen, ob derartige Daten verarbeitet werden. Und bestätigt sich dies, hat sie zugleich ein Recht auf Auskunft über diese personenbezogenen Daten.
Der Begriff der „personenbezogenen Daten“ ist weit auszulegen
In diesem Kontext weist das Oberlandesgericht darauf hin, dass der Begriff der „personenbezogenen Daten“ weit gefasst ist: Er umfasst alle Informationen, „die sich auf eine identifizierbare natürliche Person beziehen.“ Unter die Vorschrift fallen persönliche Informationen wie Identifikationsmerkmale (z.B. Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (z.B. Meinungen, Motive, Wünsche, Überzeugungen und Werturteile). Unter die Vorschrift fallen auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt.
Wichtig für das Urteil aber ist: Auch solche Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf. Deswegen muss auch über solche Aussagen Auskunft gegeben werden – selbst über Notizen zu Gesprächen und Telefonaten.
Durch Möglichkeiten der IT-Technologie gibt es keine belanglosen Daten mehr
Demnach ist auch der Versuch des Versicherungsunternehmens nicht zulässig, den Begriff der personenbezogenen Daten auf Stammdaten zu begrenzen, führt der 20. Zivilsenat des OLG Köln aus. Und ergänzt: durch die Entwicklung der Informationstechnologie mit ihren umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten gibt es keine belanglosen Daten mehr. Sobald in Gesprächsvermerken oder Telefonnotizen Aussagen des Klägers oder Aussagen über den Kläger festgehalten sind, handelt es sich um personenbezogene Daten im Sinne der DSGVO.
Berufen auf Geschäftsgeheimnisse nicht möglich
Bei der Zurückhaltung der Daten kann sich das Versicherungsunternehmen auch nicht auf Geschäftsgeheimnisse berufen. Denn Daten, die der Kläger selbst gegenüber seiner Versicherung macht, können nicht Geschäftsgeheimnis der Versicherung gegenüber dem Versicherungsnehmer sein.
Ebenso wenig verfängt die Argumentation, es sei für Großunternehmen aufgrund des Aufwands wirtschaftlich unmöglich, Gesprächsaufzeichnungen und Vermerke zu sichern und vorzuhalten. Denn es ist Sache des Unternehmens, elektronische Datenverarbeitung im Einklang mit der Rechtsordnung zu organisieren – das Unternehmen muss Wege hierfür suchen.
Auch der Datenschutz weiterer Personen greift nicht als Ausrede
Vom Gericht abgewiesen wurde auch ein weiteres Argument des Lebensversicherers: Die Herausgabe von internen Vermerken könnte Rechte und Freiheiten anderer Personen verletzen. Auch hier nämlich ist es Aufgabe des Unternehmens, personenbezogene Daten auf eine Weise zu erheben, die dies verhindert. Deswegen schränkt ein solches Argument auch nicht die Verpflichtung zur Auskunftserteilung im geschilderten Umfang ein. Das Urteil ist auf der Webseite der Justiz Nordrhein-Westfalen verfügbar.