Wurde die Identität der betroffenen Person bestätigt, geht es im nächsten Schritt an die Beantwortung des Auskunftsanspruchs. Der betroffenen Person ist entweder eine positive oder negative Auskunft zu erteilen.
Eine positive Auskunft wird erteilt, wenn der Verantwortliche personenbezogene Daten über die betroffene Person verarbeitet. Die betroffene Person ist detailliert über die Verarbeitung ihrer personenbezogenen Daten zu informieren.
Eine negative Auskunft wird erteilt, wenn der Verantwortliche keine personenbezogenen Daten der betroffenen Person verarbeitet. Die betroffene Person muss darüber informiert werden, dass keine personenbezogenen Daten verarbeitet werden.
Frist bei negativer Auskunft
Auch eine negative Auskunft ist der betroffenen Person innerhalb der gesetzlichen Monatsfrist zu erteilen.
Bevor eine positive oder negative Auskunft erteilt werden kann, muss allerdings geklärt werden, ob der Verantwortliche personenbezogene Daten der betroffenen Person verarbeitet.
3.1 Ermittlung der personenbezogenen Daten
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Typische personenbezogene Daten sind Vor- und Nachname, Geburtsdatum, Adresse oder Telefonnummer einer Person. Aber auch Daten wie Kaufhistorie, IP-Adresse oder Schreiben, wie etwa Briefe oder E-Mails, können personenbezogene Daten sein, wenn sie sich auf eine bestimmbare Person beziehen. Der Begriff der personenbezogenen Daten umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt.
Schreiben, die von der betroffenen Person verfasst wurden, sind ihrem gesamten Inhalt nach als personenbezogene Daten zu behandeln. Die personenbezogene Information besteht bereits darin, dass sich die betroffene Person gemäß dem Inhalt des Schreibens geäußert hat.
Anders gestaltet sich dies jedoch, wenn das jeweilige Schreiben vom Verantwortlichen bzw. seinen Mitarbeitern verfasst wurde. Schreiben des Verantwortlichen können nur soweit personenbezogene Daten des Betroffenen sein, wie diese Informationen über die betroffene Person enthalten.
Diese Unterscheidung ist besonders relevant, wenn die betroffene Person neben der Auskunft über ihre personenbezogenen Daten, auch eine Kopie dieser Daten gemäß Art. 15 Abs. 3 DSGVO verlangt. Der Begriff der Kopie ist wörtlich zu verstehen und bedeutet eine originalgetreue und verständliche Wiedergabe aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
Die Kosten für die erste Kopie trägt der Arbeitgeber
Fordert die betroffene Person eine Kopie ihrer Daten gemäß Art. 15 Abs. 3 DSGVO, ist grundsätzlich eine Kopie zu erteilen. Die erste Kopie ist kostenlos zur Verfügung zu stellen.
Telefonnotizen, Aktenvermerke, Gesprächsprotokolle, E-Mails, Briefe und sonstige Schreiben des Verantwortlichen müssen nicht per se als Kopie bereitgestellt werden. Eine Ausnahme gilt lediglich dann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten und der betroffenen Person die wirksame Ausübung ihrer Rechte zu ermöglichen. Dies gilt beispielsweise für Patientenakten. Der Kontext der personenbezogenen Daten zu den Diagnosen, Untersuchungsergebnissen, Befunden, etc. ist für die Verständlichkeit ebenjener entscheidend.
Die Erforderlichkeit der Bereitstellung weiterer Dokumente zur Kontextualisierung ist durch die betroffene Person darzulegen.
"Wenn die linke Hand nicht weiß, was die rechte Hand tut"
Binden Sie verschiedene Abteilungen innerhalb Ihrer Organisation in die Ermittlung der personenbezogenen Daten ein. Es kann vorkommen, dass sich personenbezogene Daten auf verschiedenen Systemen befinden, die unabhängig und/oder voneinander getrennt arbeiten. Durch die Einbindung verschiedener Abteilungen stellen Sie sicher, dass Sie vollständig und lückenlos Auskunft erteilen können.
3.2 Prüfung etwaiger Beschränkungen
Nachdem alle personenbezogenen Daten erfasst wurden, gilt es diese auf etwaige Beschränkungen hin zu prüfen. Denn auch der Auskunftsanspruch unterliegt gewissen Grenzen und nicht alle Daten müssen beauskunftet werden.
Als Beschränkungen kommen vor allem die Rechte und Freiheiten anderer Personen in Betracht. In der Praxis relevant sind besonders die Urheberrechte und Geschäftsgeheimnisse des Arbeitgebers oder seiner Kunden, Berufsgeheimnisse sowie die Persönlichkeitsrechte von Arbeitnehmern oder Dritten.
Umzusetzen sind diese Beschränkungen vorrangig durch die Unkenntlichmachung oder Schwärzung der entsprechenden Textpassagen, z. B. die Namen dritter Personen. Bei der Bearbeitung der Dokumente ist jedoch darauf zu achten, da...