Wann ist der Insolvenzverwalter zur Auskunft im Sinne der DSGVO verpflichtet?

Beitrag als PDF (Download)

Mit Eröffnung des Insolvenzverfahrens hat der Insolvenzverwalter die Insolvenzmasse in Besitz und Verwaltung zu nehmen. Um Zahlungs- und Haftungsansprüche zu ermitteln, muss der Insolvenzverwalter dann die vorhandenen Daten von Dritten feststellen und verarbeiten. Damit wird der Insolvenzverwalter formal zum Verantwortlichen im Sinne der Datenschutz-Grundverordnung (DSGVO), der über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Fraglich ist aber, ob damit auch das umfassende Auskunftsrecht der betroffenen Dritten im Sinne von § 15 DVSGO eröffnet ist. Möchte der Betroffene mit den erlangten Informationen vorrangig eigene Ansprüche gegen die Insolvenzschuldnerin substantiieren, ist der Auskunftsanspruch in jedem Fall abzulehnen.

Mit der Frage des Auskunftsanspruchs hat sich jüngst das Amtsgericht Hamburg in seinem Urteil vom 15.11.2021 (Az. 11C 75/21) auseinandergesetzt – allerdings ohne die Frage nach dem Umfang und den Grenzen dieses Anspruchs konkret zu beantworten. Denn das Amtsgericht verneint bereits die Anwendbarkeit der DSGVO auf den Insolvenzverwalter. Es gelte die Bereichsausnahme des Art. 2 Abs. 2 lit.a) DSGVO, da der Insolvenzverwalter als Amtsperson aufgrund „einzelgerichtlicher Anordnung hoheitliche Aufgaben sui generis wahrnehme und die insolvenzrechtliche Ordnung exekutiere“. Dabei hat das Amtsgericht bewusst offengelassen, ob stattdessen das Bundesdatenschutzgesetz (BDSG) direkt gilt oder der Insolvenzverwalter den allgemeinen Datenschutzgesetzen gar nicht unterliegt. Letzteres wäre wohl auch ein äußerst zweifelhaftes Ergebnis.

Anwendungsbereich der DSGVO

So sind die Anwendbarkeit der DSGVO im Insolvenzrecht und auch die Verantwortlichkeit des Insolvenzverwalters – zumindest nach Eröffnung des Verfahrens – durchaus zu bejahen.

Die DSGVO regelt den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Da so gut wie jedes Unternehmen Mitarbeiterdaten speichert, ist der Anwendungsbereich der DSGVO damit praktisch in jedem Unternehmen eröffnet. Die Pflichten der DSGVO richten sich dabei primär an den für die Datenverarbeitung „Verantwortlichen“. Hierunter ist jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle zu verstehen, die „allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Verantwortlicher kann daher nur sein, wem die Entscheidungsbefugnis über die Mittel und Zwecke der Datenverarbeitung zusteht. Damit dürften weder der Sachwalter (§ 274 InsO) noch der vorläufige schwache Insolvenzverwalter in den Anwendungsbereich der DSGVO kommen, da diesen jeweils nur eine beaufsichtigende Funktion zukommt.

Verfahrenseröffnung: Insolvenzverwalter ist „Verantwortlicher“

Anders nach Eröffnung des Insolvenzverfahrens: Hier geht die Verwaltungs- und Verfügungsbefugnis über die Insolvenzmasse auf den Insolvenzverwalter über. Dem vorläufigen starken Insolvenzverwalter und dem Insolvenzverwalter obliegt die tatsächliche Entscheidungsbefugnis über die betrieblichen Abläufe und die hiermit verbundenen und erforderlichen Verarbeitungsprozesse innerhalb des Unternehmens. Insbesondere dann, wenn im Rahmen der Ermittlung von Haftungsansprüchen Daten durchsucht oder übermittelt werden, könnte dies eine Datenverarbeitung im Sinne der DSGVO darstellen.

„Pre-Trial-Discovery“ durch die Hintertür?

Damit würden den Insolvenzverwalter aber auch die weitreichenden Auskunftsansprüche der von der Datenspeicherung Betroffenen treffen. Bereits das Landgericht Köln hat mit Urteil vom 19.06.2019 (Az. 26 S 13/18) festgestellt, dass der Auskunftsanspruch nach Art. 15 DSGVO weit über den vormaligen Auskunftsanspruch aus § 34 BDSG a.F. hinausgeht. Er gewährt ein umfassendes Auskunftsrecht über personenbezogene Daten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen.

Sollen also sämtliche datenverarbeitenden Tätigkeiten im Rahmen der Abwicklung des schuldnerischen Unternehmens dazu führen, dass der Insolvenzverwalter nach Art. 15 DSGVO auskunftspflichtig ist? In diesem Fall wäre zu befürchten, dass im Insolvenzverfahren durch die Hintertür der DSGVO einer dem deutschen Recht fremden „Pre-Trial-Discovery“ Tür und Tor geöffnet wird. Nach diesem im US-Recht verankerten Verfahren kann jede Partei verlangen, dass die jeweilige Gegenseite umfassend alle Tatsachen offenlegt, die für ihren Anspruch relevant sein könnten.

Zweck des Auskunftsanspruchs: Rechtmäßigkeitskontrolle

Der datenschutzrechtliche Auskunftsanspruch verfolgt einen bestimmten Zweck. Er soll dem Betroffenen einen Einblick in das „Ob und Wie“ der Verarbeitung seiner Daten verschaffen, um deren Rechtmäßigkeit zu prüfen und gegebenenfalls Betroffenenrechte geltend machen zu können. Es geht um das subjektive Datenschutzrecht, ein wesentliches Element des Selbstdatenschutzes, aber auch der externen Kontrolle der verantwortlichen Stellen. Soweit der Insolvenzverwalter die Geschäftstätigkeit des Schuldners fortführt und dabei – ebenso wie der Schuldner vor Verfahrenseröffnung – Daten verarbeitet, muss man einen Auskunftsanspruch der jeweiligen Betroffenen im Grundsatz anerkennen.

Substantiierung eigener Ansprüche rechtfertigt keinen Auskunftsanspruch

Dagegen weist die instanzgerichtliche Rechtsprechung Auskunftsansprüche zurück, wenn sie aus verordnungsfremden Gründen geltend gemacht werden. Art. 15 DSGVO soll eine Rechtmäßigkeitskontrolle der Datenverarbeitungsvorgänge ermöglichen. Sofern der Betroffene ein anderes Ziel verfolgt – etwa die Substantiierung finanzieller Forderungen gegen das insolvente Unternehmen –, ist der Auskunftsanspruch mit Sinn und Zweck der DSGVO nicht mehr vereinbar. Er ist rechtsmissbräuchlich und als treuwidrig abzulehnen.

Kein Aushebeln des Beibringungsgrundsatzes

Nach Art. 23 DSGVO kann der datenschutzrechtliche Auskunftsanspruch durch nationales Recht zugunsten höherrangiger Interessen eingeschränkt werden. Dazu zählen die Funktionsfähigkeit der Justiz und die Durchsetzung zivilrechtlicher Ansprüche. Das Amtsgericht Hamburg ist der Ansicht, dass die Verpflichtung des Insolvenz-verwalters zur Massegenerierung nicht dadurch gefährdet werden darf, dass Gläubigern oder Organen der Insolvenzschuldnerin Auskünfte erteilt werden, die über die in der Zivilprozessordnung abschließend geregelten Einsichtsrechte für das Insolvenzverfahren hinausgehen. Im deutschen Recht gilt für die Durchsetzung von zivilrechtlichen Ansprüchen der Beibringungsgrundsatz. Die darlegungs- und beweisbelastete Partei muss alle anspruchsbegründenden Tatsachen und Beweismittel vorlegen. Eine aus dem Common Law bekannte „Pre-Trial-Discovery“ in Form eines materiellrechtlichen oder zivilprozessualen Auskunftsanspruchs gegenüber dem Prozessgegner ist der deutschen Rechtsordnung fremd. Diese Grundsätze dürfen nicht über einen extensiven Auskunftsanspruch nach der DSGVO ausgehöhlt werden. Dass dies der europäische Gesetzgeber auch nicht beabsichtigt hat, ergibt sich schon daraus, dass ihm für die deutsche Zivilprozessordnung keine Regelungskompetenz zusteht.

Fazit

Die Tendenz der Instanzgerichte, einen Übergriff der datenschutzrechtlichen Regelungen mit unterschiedlichen Begründungsmodellen abzulehnen, ist zu begrüßen. In der Praxis wird man im Einzelfall prüfen müssen, welche Beweggründe hinter einem Auskunftsanspruch stehen. Ein originärer Auskunftsanspruch im Sinne einer „Pre-Trial-Discovery“ besteht jedenfalls nicht.

heinrich.meyer@advant-beiten.com

frank.primozic@advant-beiten.com

Aktuelle Beiträge