Kläger begehrt Auskunft zu Abfrage von Kundendaten
Ein Mitarbeiter und zugleich Kunde der finnischen Bank Pankki S erfuhr 2014, dass seine personenbezogenen Daten von anderen Mitarbeitern der Bank im Zeitraum vom 01.11.2013 bis zum 31.12.2013 mehrmals abgefragt worden waren. Der Arbeitnehmer, dessen Beschäftigungsverhältnis bei Pankki S mittlerweile gekündigt wurde, hat Zweifel an der Rechtmäßigkeit der Abfragen. Er forderte Pankki S daraufhin am 29.05.2018 auf, ihm die Identität der Personen, die seine Kundendaten abgefragt hatten, den genauen Zeitpunkt der Abfragen sowie die Zwecke der Verarbeitung dieser Daten offenzulegen.
Bank versagt Auskunft mit Verweis auf personenbezogene Daten
Die Bank weigerte sich, Auskünfte über die Identität der Arbeitnehmer zu erteilen, die die Abfragen vorgenommen hatten, da es sich bei diesen Informationen um personenbezogene Daten handele. Sie machte jedoch nähere Angaben über die von ihrer internen Revision ausgeführten Abfragen, wobei sie erläuterte, ein Kunde der Bank, dessen Kundenberater der Auskunftssuchende gewesen sei, sei Gläubiger einer Person, die den gleichen Nachnamen wie der Auskunftssuchende trage. Die Bank habe daher klären wollen, ob Letzterer und der in Rede stehende Schuldner personenidentisch seien und ob möglicherweise ein ungehöriger Interessenkonflikt bestanden habe.
DS-GVO auch auf Verarbeitungsvorgänge vor Inkrafttreten anwendbar
Der Auskunftssuchende wandte sich an das Büro des Datenschutzbeauftragten von Finnland und beantragte, Pankki S anzuweisen, ihm die angeforderten Informationen zu erteilen. Nachdem dieser Antrag abgelehnt worden war, erhob er Klage beim Verwaltungsgericht Ostfinnland, das den EuGH um Auslegung von Art. 15 DS-GVO ersuchte. Dieser stellte zunächst fest, dass die seit dem 25.05.2019 geltende DS-GVO auf ein nach diesem Datum vorgebrachtes Auskunftsersuchen anwendbar ist, wenn die dieses Ersuchen betreffenden Verarbeitungsvorgänge - wie hier - vor dem Anwendungsdatum der DS-GVO ausgeführt wurden.
Rechte des Betroffenen und der Arbeitnehmer gegeneinander abzuwägen
Grundsätzlich dürfe eine Person jene Informationen vom Verantwortlichen verlangen, die Abfragen ihrer eigenen personenbezogenen Daten betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen. Dagegen sehe die DS-GVO kein solches Recht in Bezug auf Informationen über Arbeitnehmer vor, die diese Vorgänge im Einklang mit den Weisungen des Verantwortlichen ausgeführt haben, außer wenn diese Informationen unerlässlich sind, um es der betroffenen Person zu ermöglichen, ihre Rechte wirksam wahrzunehmen, und vorausgesetzt, dass die Rechte und Freiheiten dieser Arbeitnehmer berücksichtigt werden. Falls nämlich die Wahrnehmung eines Rechts auf Auskunft zum einen und die Rechte und Freiheiten anderer Personen zum anderen miteinander kollidieren, seien die in Rede stehenden Rechte und Freiheiten gegeneinander abzuwägen. Nach Möglichkeit seien Modalitäten zu wählen, die diese Rechte und Freiheiten nicht verletzen.
Ehemalige Beschäftigung bei Bank für Auskunftsanspruch irrelevant
Der Umstand, dass der Verantwortliche das Bankgeschäft im Rahmen einer reglementierten Tätigkeit ausübt und dass die Person, deren personenbezogene Daten in ihrer Eigenschaft als Kunde des Verantwortlichen verarbeitet wurden, bei diesem Verantwortlichen auch beschäftigt war, wirke sich grundsätzlich nicht auf die Reichweite des Rechts aus, das dieser Person gewährt wird.
