Informations- und Auskunftspflichten bei der Datenerhebung / 2 Auskunftspflichten (Art. 15 DSGVO)

Betroffene haben das Recht, vom Verantwortlichen eine Bestätigung zu verlangen, ob eine Verarbeitung personenbezogener Daten erfolgt ist.

2.1 Form und Inhalt des Auskunftsbegehrens

Das Auskunftsbegehren unterliegt nach den Bestimmungen der DSGVO keinen besonderen Anforderungen an Form und Inhalt und ist auch nicht zu begründen. Nach Erwägungsgrund 63 DSGVO dient das Auskunftsrecht dem Zweck, dass sich der Betroffene der Verarbeitung bewusst wird und deren Rechtmäßigkeit überprüfen kann. Ist eine Verarbeitung erfolgt, besteht im Weiteren das Recht, eine Auskunft über die folgenden Sachverhalte zu erhalten:

• Verarbeitungszwecke,
• Kategorien personenbezogener Daten, die verarbeitet werden,
• Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig erhalten sollen,
• geplante Speicherdauer, falls möglich – andernfalls die Kriterien für die Festlegung der Speicherdauer,
• Hinweis auf das Recht auf Berichtigung, Löschung oder Einschränkung bzw. Widerspruchsrecht gegen die Verarbeitung,
• Hinweis auf das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde,
• Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst erhoben wurden,
• das Bestehen einer automatischen Entscheidungsfindung einschließlich Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren.

Die Auskunft hat in präziser, transparenter, verständlicher und leicht zugänglicher Form und unentgeltlich zu erfolgen.

Dem Betroffenen sind die Informationen unverzüglich, in jedem Fall aber binnen eines Monats nach Eingang des Antrags schriftlich, elektronisch oder, auf Verlangen, mündlich zur Verfügung zu stellen (Art. 12 DSGVO). Aufgrund des engen Zeitrahmens ist es erforderlich, die Mitarbeiter zu sensibilisieren, unverzüglich auf einen solchen Antrag zu reagieren.

Sofern ein Datenschutzbeauftragter bestellt ist, empfiehlt es sich, diesen für die Bearbeitung der Auskunftserteilungen hinzuzuziehen.

Hinweis

Prozess der Auskunftserteilung bei Bestellung und Einschaltung eines Datenschutzbeauftragten

1. Zunächst wird die Identität der anfragenden Person über Ausweisdokumente sichergestellt, es sei denn, der Anfragende ist persönlich bekannt.
2. Sofern ein Auskunftsersuchen bei einem Mitarbeiter schriftlich, elektronisch oder verbal eingeht, meldet dieser den Vorgang unverzüglich seinem Vorgesetzten und dem Datenschutzbeauftragten.
3. Nun wird ermittelt, in welcher Beziehung der Auskunftsersuchende zum Unternehmen steht.
4. Zum Nachweis der gespeicherten personenbezogenen Daten des Auskunftsersuchenden werden Screenshots aus den Systemen angefertigt, wenn dies nicht über Softwaremodule möglich ist.
5. Die gesamten Unterlagen werden dem Datenschutzbeauftragten zur Verfügung gestellt.
6. Der Datenschutzbeauftragte erstellt anhand der vorliegenden Unterlagen ein Antwortschreiben, das er der zuständigen Stelle im Unternehmen zur Abstimmung und Freigabe zur Verfügung stellt.
7. Nach erteilter Freigabe versendet der Datenschutzbeauftragte das Antwortschreiben nebst Anlage an den Auskunftsersuchenden.

2.2 Umfang des Auskunftsanspruchs

Unklar ist, wie weit der Auskunftsanspruch des Betroffenen und insbesondere die Aushändigung von Kopien geht. Nach Art. 15 Abs. 4 DSGVO ist das Recht auf Erhalt einer Kopie begrenzt, wenn dadurch die Rechte und Freiheiten anderer Personen beeinträchtigt werden; darunter fallen nach Erwägungsgrund 63 Satz 5 auch Geschäftsgeheimnisse, geistiges Eigentum oder Urheberrechte an Software.

Rechtsprechung

In Rechtsstreitigkeiten z. B. mit Verbrauchern oder Arbeitnehmern wurde der Anspruch auf Erhalt einer Kopie geltend gemacht, um den Gegner zu beschäftigen und ggf. Informationen zu erhalten, die im Rechtsstreit gegen ihn verwendet werden können. Der BGH^[1] legte das Auskunftsrecht sehr weit aus. Auf eine Vorlage an den EuGH hat er mit Verweis auf die Rechtsprechung des EuGH^[2] in dem Verfahren C-141/12 verzichtet.

Dieses EuGH-Verfahren betraf noch die Richtlinie 95/46/EG, also die Vorgängervorschrift der DSGVO. In seiner Entscheidung schränkte der EuGH das Auskunftsrecht in der Weise ein, dass es kein umfassendes Recht auf Einsicht in Dokumente gewähre und insoweit nicht in ein Akteneinsichtsrecht ausgeweitet werden dürfe. Damit wäre der Auskunftsanspruch auf die personenbezogenen Daten beschränkt und der Betroffene könnte keine vollständige Kopie sämtlicher Dokumente verlangen, die personenbezogene Daten über ihn enthalten.

Dieser praktikablen Auffassung ist der BGH in seinem oben genannten Urteil nicht gefolgt. Nach seiner Auffassung sind personenbezogene Daten potenziell alle Arten von Informationen – sowohl objektiver als auch subjektiver Natur – in Form von Stellungnahmen oder Beurteilungen, sofern es sich um Informationen über den Betroffenen handelt. Ein Auskunftsberechtigter könne auch wiederholt Auskunft verlangen. Das Auskunftsrecht nach Art. 15 DSGVO sei auch nicht auf Daten beschränkt, die dem Betroffenen noch nicht bekannt seien. Auch Korrespondenz mit Dritten und interne Vermerke könnten auf die Perso...