Erfüllung von Auskunftsersuchen per E-Mail

Reicht es aus, eine E-Mail zu versenden, um ein Auskunftsersuchen gemäß der DSGVO zu erfüllen? Oder ist es notwendig, sicherzustellen, dass der Empfänger die Information tatsächlich erhält? In diesem Artikel werfen wir einen Blick die rechtlichen Anforderungen bei der Erfüllung von Auskunftsersuchen per E-Mail.

Pflicht erfüllt oder nur versendet?

Manchmal kann die Beantwortung eines Auskunftsersuchens eines Betroffenen nervenaufreibend sein. Der Auskunftsersuchende macht gleich in seiner ersten E-Mail Anfrage unmissverständlich deutlich, dass mit ihm nicht zu spaßen ist und droht bei Versäumen der Frist und bei dem kleinsten Anzeichen einer fehlerhaften Auskunft, die Aufsichtsbehörde einzuschalten. Und das hätte ja gerade noch gefehlt.

Also macht sich der pflichtbewusste Verantwortliche daran, das Auskunftsersuchen „unverzüglich“ zu erfüllen und hierbei alle Fallstricke zu vermeiden. Aber kaum ist die E-Mail an den Auskunftssuchenden abgeschickt, kommen Zweifel auf. Reicht der Versand der E-Mail aus? Und was passiert, wenn der Betroffene von der E-Mail keine Kenntnis erlangt?

Die Aufsichtsbehörden sind bei der Nichteinhaltung der Frist bekanntermaßen nicht sonderlich zimperlich. Es drohen zum Teil gepfefferte Bußgelder. Je länger die Verspätung, desto teurer. Gesunde Paranoia oder unnötiges Kopfzerbrechen?

Form des Auskunftsersuchens

Grundsätzlich hat der Verantwortliche dem Auskunftsersuchenden die Daten sowie die Informationen in schriftlicher oder anderer Form, gegebenenfalls auch elektronisch, mitzuteilen. In der Regel werden Auskunftsersuchen über den elektronischen Weg angefragt. Sollte die Anfrage auf elektronischem Wege gesendet worden sein, sollte gem. Art. 12 Abs. 3 S. 4 und Art. 15 Abs. 3 S.3 DSGVO auch per elektronischem Kommunikationsweg die Datenkopie übermittelt werden. So sieht es auch der Europäische Datenschutzausschuss EDSA und das Bayerisches Landesamt für Datenschutzaufsicht:

„Wenn das Auskunftsbegehren elektronisch, z. B. per E-Mail gestellt wird, ist die Auskunft grundsätzlich elektronisch zu erteilen.“

Zugang von E-Mails

Die Beantwortung des Auskunftsersuchens per E-Mail ist also völlig ausreichend, sofern nicht explizit anderes gefordert. Aber spätestens, wenn der Betroffene bestreitet, die E-Mail erhalten zu haben, wird die rechtliche Realität etwas komplexer. Dann stellt sich die Frage, ob der Verantwortliche die Beweislast dafür trägt, dass die Auskunft tatsächlich beim Betroffenen angekommen ist.

Nachweis des Zugangs

Der Nachweis des Zugangs einer E-Mail richtet sich nach § 130 Abs. 1 S. 1 BGB. Danach wird eine ggü. einem Abwesenden abgegebene Erklärung in dem Zeitpunkt wirksam, in dem sie ihm zugeht. Dabei ist nach der ständigen Rechtsprechung des BGH von einem Zugang auszugehen, wenn diese so in den Bereich des Empfängers gelangt ist, dass eine Kenntnisnahme durch den Empfänger möglich und nach der Verkehrsanschauung zu erwarten ist.

Während weitgehend Einigkeit darüber besteht, dass eine E-Mail dann in den Machtbereich des Empfängers gelangt ist, wenn sie auf dessen Server eingeht, ist umstritten, welche Bedeutung dem Erfordernis der Möglichkeit zur Kenntnisnahme zukommt.

Nachweis des Absendens der E-Mail nicht ausreichend

Für den geschäftlichen E-Mail-Verkehr hat der BGH entschieden, dass jedenfalls E-Mails, die während üblicher Geschäftszeiten abrufbereit auf dem Empfängerserver eingehen, (in der Regel) bereits zu diesem Zeitpunkt zugehen; auch wenn diese automatisch in den Spam-Ordner verschoben werden sollten.

Die h. M. geht rechtswegübergreifend weitgehend einhellig davon aus, dass allein durch den Nachweis des Absendens einer E-Mail der Nachweis des Zugangs (auf dem Server des Empfängers) nicht erbracht werden kann.

Das OLG Rostock führte hierzu erst letztes Jahr aus, dass in einem solchen Fall insbesondere kein Anscheinsbeweis für den Zugang streiten würde, weil bei einem E-Mail-Versand die Gefahr bestehe, dass die Nachricht den Empfänger wegen einer technischen Störung bei der Übermittlung nicht erreicht.

Nachweis durch Empfangs- und Lesebestätigung?

Neben dem i. d. R. nicht erbringbaren Nachweis über die Server-Protokolle des Adressaten kann nach überwiegender Ansicht des Zugangsnachweises bei einer E-Mail durch eine Empfangs- und Lesebestätigung geführt werden. Das setzt aber voraus, dass diese vom Empfänger auch angenommen wird.

Nachweis durch eingerichteter Abwesenheitsnotiz?

Ebenfalls in Betracht kommt als Zugangsnachweis die Vorlage einer automatischen E-Mail-Antwort von der Empfängeradresse (wie etwa eine Abwesenheitsnotiz). Automatisierte Antwort-E-Mails werden – sofern vom Empfänger eingerichtet – vom Empfangsserver versendet, sobald eine E-Mail eingeht. Der Erhalt einer solchen Nachricht erlaubt daher den Rückschluss, dass die Ursprungs-E-Mail auf dem Server des Empfängers eingegangen ist.

Aber genauso wie bei der Empfangsbestätigung hängt hier die Nachweisbarkeit vom Zufall ab. Nimmt der Empfänger die Lesebestätigung nicht an oder hat keine automatische Antwort eingerichtet, kann der Nachweis des Zugangs nicht erbracht werden.

Der Weg über die sekundäre Darlegungslast

Als zusätzliche Absicherung einer etwaigen Nachweisführung besteht die Möglichkeit, nicht nur eine Empfangs- und Lesebestätigung anzufordern, sondern die E-Mail auch in Blindkopie an die Absender-Adresse zu schicken.

Dies dürfte für den Empfänger zumindest eine sekundäre Darlegungslast auslösen, um zu erklären, warum der Versand an seine E-Mail-Adresse nicht erfolgreich war, jedoch der Versand an die BCC-Adresse.

Informationsübermittlung i.S.d. DSGVO allein durch Versenden

Ungeachtet der Zugangsproblematik bei E-Mails stellt sich jedoch die Frage, ob bei der Erfüllung von Auskunftsersuchen durch Informationsübermittlung implizit der Zugang vorausgesetzt werden kann.

Die Formulierung des Art. 12 Abs.1 DSGVO könnte zwar darauf schließen lassen, dass die Informationen tatsächlich beim Betroffenen ankommen müssen. Ansonsten könnte dieser schließlich seine Rechte nicht effektiv wahrnehmen.

Andererseits ist der einschlägigen Kommentarliteratur nicht ohne weiteres zu entnehmen, dass für die Übermittlung der einfache Versand per E-Mail nicht ausreicht. Denn der Zugang der E-Mail beim auskunftsersuchenden Empfänger könnte nach der oben dargelegten Thematik durch den Verantwortlichen nie wirklich sichergestellt werden.

Auch die Formulierung des § 3 Abs. 4 S. 2 Nr. 3 BDSG a.F. lässt darauf schließen, dass das Versenden einer E-Mail für die Annahme einer Übermittlung i.S.d. DSGVO ausreichend sein dürfte. Demnach war Übermitteln als das Bekanntgeben von Daten durch Weitergeben, Einsehen oder Abrufen definiert. Weitergeben ist jede Handlung, durch die die in den Daten enthaltene Information in den Bereich eines Adressaten gelangt. Und dies kann nach der Kommentarliteratur durch das Versenden einer E-Mail erfolgen.

Erfüllung der Rechenschaftspflicht

Der Verantwortliche muss zwar nach der ihm obliegenden Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO (ggf. gegenüber der Aufsichtsbehörde) nachweisen können, dass er die Auskunftspflichten ordnungsgemäß erfüllt hat.

Dies sollte aber in aller Regel dadurch gelingen, indem nachgewiesen wird, dass der Auskunftsersuchende die Anfrage per E-Mail gestellt hat und auf die ersuchten Informationen an dessen E-Mail (mit Anforderung einer Empfangsbestätigung und gleichzeitigem Versand an die Absender-Adresse) versendet wurden. Bei einem derartigen Nachweis dürfte das Bußgeldrisiko letztendlich äußerst gering ausfallen.