Self-Service-Tools und Art. 15 DSGVO: Was das OLG Frankfurt zur automatisierten Auskunft entschieden hat

Die Erfüllung von Auskunftsansprüchen nach Art. 15 DSGVO gehört zu den aufwendigsten Aufgaben im Datenschutzmanagement. Besonders Unternehmen mit einer hohen Zahl an Betroffenenanfragen sehen sich häufig mit erheblichem administrativem Aufwand konfrontiert. Digitale Lösungen, die die Beauskunftung automatisieren, erscheinen daher als effiziente Alternative. Ob eine solche automatisierte Auskunft rechtlich zulässig ist, hat das Oberlandesgericht (OLG) Frankfurt am Main entschieden.

Hintergrund: Streit um die Auskunft über ein Self-Service-Tool

Im entschiedenen Fall betrieb die Beklagte eine bekannte Social-Media-Plattform („X“, vormals Twitter). Ein Nutzer der Plattform verlangte über seinen Rechtsanwalt Auskunft über sämtliche ihn betreffenden personenbezogenen Daten gemäß Art. 15 DSGVO. Die Betreiberin erteilte eine allgemeine Information zur Datenverarbeitung und verwies im Übrigen auf ein Online-Self-Service-Tool, über das der Nutzer selbst eine Kopie seiner Daten abrufen könne.

Der Kläger sah hierin keine ordnungsgemäße Erfüllung seines Auskunftsanspruchs, da er der Nutzung eines solchen Tools nicht zugestimmt habe und dazu nicht verpflichtet sei. Er argumentierte, dass eine aktive Handlung seinerseits – das Aufrufen des Portals – nicht dem gesetzlichen Anspruch auf Auskunft durch den Verantwortlichen entspreche. Das OLG Frankfurt hatte daher zu prüfen, ob die Bereitstellung eines Self-Service-Portals als rechtmäßige Form der Auskunftserteilung gelten kann.

Entscheidung des OLG Frankfurt: Digitale Auskunft ist zulässig

Das OLG Frankfurt am Main (Urteil vom 2. Juli 2024 – 6 U 41/24) hat entschieden, dass die Bereitstellung eines Self-Service-Tools den Anspruch auf eine Kopie nach Art. 15 Abs. 3 DSGVO erfüllen kann. Das Gericht verwies auf Erwägungsgrund 63 DSGVO, nach dem der Verantwortliche nach Möglichkeit einen Fernzugang zu einem sicheren System bereitstellen sollte, über den die betroffene Person direkt Zugang zu ihren personenbezogenen Daten erhält.

Entscheidend sei, dass die betroffene Person in angemessener Weise Zugang zu den relevanten Informationen erhält. Dass die betroffene Person der Auskunft per Fernzugang zustimmt, verlange Erwägungsgrund 63 nicht. Da der Kläger ein Nutzerkonto besitze und somit über die technischen Voraussetzungen verfüge, sei die Bereitstellung über das Self-Service-Tool ausreichend.

Bemerkenswert ist die Feststellung des Gerichts, der Kläger sei kein „analoger Eremit“, der keinen Zugang zu digitalen Anwendungen habe – eine pointierte Formulierung, die die Erwartung einer gewissen digitalen Grundkompetenz betont.

Bedeutung für Unternehmen

Die Entscheidung gibt Unternehmen Orientierung, die Prozesse zur Wahrnehmung von Betroffenenrechten effizient gestalten möchten. Sie verdeutlicht, dass die DSGVO den Einsatz technischer Lösungen zulässt, sofern der Grundsatz der Transparenz und der Zugang der betroffenen Person zu ihren Daten gewährleistet bleibt. Zu beachten ist, dass es sich um die Entscheidung eines Oberlandesgerichts zu einer Social-Media-Plattform handelt, deren Nutzer ohnehin ein Konto besitzen; eine höchstrichterliche Klärung steht aus.

Self-Service-Portale können somit ein wirksames Mittel zur Standardisierung und Automatisierung von Datenschutzprozessen sein. Besonders in Unternehmen mit einer hohen Zahl gleichartiger Anfragen kann der Einsatz solcher Systeme Ressourcen sparen, Fehlerquoten senken und die Reaktionszeit verkürzen.

Gleichwohl sollten Unternehmen sicherstellen, dass ihre Tools sämtliche Anforderungen des Art. 15 Abs. 1 und 3 DSGVO erfüllen, insbesondere die Bereitstellung vollständiger Datenkopien und die Wahrung der Datensicherheit. Nach dem EuGH (Urteil vom 4. Mai 2023, C-487/21) muss die Kopie eine originalgetreue und verständliche Reproduktion der Daten sein. Bei unstrukturierten Daten wie E-Mails oder Dokumenten mit Angaben über Dritte (Art. 15 Abs. 4 DSGVO) wird ein automatisiertes Portal das oft nicht leisten. Zudem sollten alternative Kommunikationswege für Betroffene ohne digitalen Zugang verfügbar bleiben.

Fazit

Das Urteil des OLG Frankfurt liefert eine praxisnahe Auslegung der DSGVO: Die automatisierte Bereitstellung von Betroffenenauskünften über Self-Service-Tools kann genügen, wenn die betroffene Person tatsächlich in angemessener Weise und sicher Zugang zu ihren Daten erhält. Nach meiner Einschätzung gehören dazu auch Verständlichkeit und Zugänglichkeit des Tools. Damit erhalten Unternehmen eine belastbare Orientierung für den Einsatz digitaler Lösungen zur Wahrnehmung von Betroffenenrechten – und zugleich einen Impuls, ihre Datenschutzprozesse zu modernisieren.

Anmerkung zur Formulierung „analoger Eremit“

Mit der Formulierung „kein analoger Eremit“ bedient sich das OLG Frankfurt einer bewusst zugespitzten Ausdrucksweise, um den technischen und tatsächlichen Kontext zu verdeutlichen. Der Begriff ist kein juristischer Terminus, sondern eine rhetorische Figur, die den Wandel hin zu einer digital geprägten Rechtswirklichkeit verdeutlicht.

Das Gericht nutzt den Ausdruck, um darauf hinzuweisen, dass Personen, die digitale Dienste aktiv verwenden – etwa durch das Betreiben eines Social-Media-Kontos – nicht gleichzeitig geltend machen können, der digitale Zugang zu ihren Daten sei unzumutbar. Insofern verknüpft die Formulierung das Prinzip der Zumutbarkeit technischer Nutzung mit der tatsächlichen digitalen Teilhabe der betroffenen Person.

Dogmatisch lässt sich diese Sichtweise auf den allgemeinen Grundsatz der Verhältnismäßigkeit und den Erwägungsgrund 63 DSGVO zurückführen, der digitale Zugangsformen zur Wahrnehmung von Betroffenenrechten ausdrücklich vorsieht. Die Entscheidung des OLG zeigt, dass Gerichte bereit sind, den datenschutzrechtlichen Anspruch im Lichte der digitalen Realität auszulegen.

Gleichzeitig bleibt die Bemerkung bemerkenswert, weil sie ein Spannungsfeld öffnet: Zwischen der berechtigten Erwartung einer gewissen digitalen Selbstständigkeit und der Pflicht des Verantwortlichen, auch barrierearme Alternativen bereitzuhalten. Das Gericht selbst hat eingeräumt, dass ein Fernzugang im Einzelfall dazu führen kann, dass einer analog lebenden Person die Auskunft faktisch verwehrt wird.