Datenschutz: Der Umgang mit dem Auskunftsanspruch

Zusammenfassung

Überblick

Art. 15 der EU-Datenschutz-Grundverordnung (DSGVO) gibt Personen das Recht, eine Auskunft über die Verarbeitung sie betreffender personenbezogener Daten von einem Verantwortlichen zu verlangen (Auskunftsrecht).

Dieser Beitrag gibt Ihnen einen Überblick über das richtige Vorgehen vom Eingang einer Anfrage bis hin zur Erteilung der Auskunft.

Gesetze, Vorschriften und Rechtsprechung

Art. 12 DSGVO, Art. 15 DSGVO

1 Sinn und Zweck des Auskunftsrechts

Durch das Auskunftsrecht nach Art. 15 DSGVO erlangen betroffene Personen^[1] einen Anspruch gegenüber den Verantwortlichen^[2], zu erfahren, ob und wenn ja, welche ihrer personenbezogenen Daten von diesem verarbeitet werden (Auskunftsanspruch). Der Auskunftsanspruch erfüllt zwei Zwecke für die betroffene Person. Zum einen soll der Auskunftsanspruch der betroffenen Person ermöglichen, sich der Verarbeitung ihrer Daten durch den Verantwortlichen bewusst zu werden. Zum anderen soll die betroffene Person im Fall einer Verarbeitung ihrer Daten in die Lage versetzt werden, die Rechtmäßigkeit dieser Verarbeitung zu überprüfen.^[3]

Vor diesem Hintergrund ist der Auskunftsanspruch an keine rechtlichen Bedingungen oder sonstigen Voraussetzungen geknüpft. Betroffene Personen können jederzeit und ohne konkreten Anlass ihr Auskunftsrecht geltend machen. Es bedarf weder eines konkreten Grundes noch eines besonderen Interesses an der Auskunft, wie etwa den Verdacht einer rechtswidrigen Verarbeitung durch den Verantwortlichen.

Die Formfreiheit des Auskunftsanspruchs eröffnet gleichsam ein gewisses Missbrauchspotenzial, z. B. durch sog. "Datenschutz-Hopper".

Ungeachtet der Intention der betroffenen Person ist daher jeder Auskunftsanspruch sorgsam zu bearbeiten.

[1] Betroffene Person meint eine identifizierte oder identifizierbare natürliche Person (Art. 4 Nr. 1 DSGVO), z. B. einen Kunden, einen (ehemaligen) Mitarbeiter.

[2] Verantwortlicher meint die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 DSGVO). In diesem Beitrag gehen wir davon aus, dass das in Anspruch genommene Unternehmen auch Verantwortlicher ist.

[3] Vgl. Erwägungsgrund 63 der DSGVO.

2 Die Geltendmachung des Auskunftsrechts

2.1 Eingang eines Auskunftsverlangens

An erster Stelle steht der Eingang eines Auskunftsverlangens beim Verantwortlichen, welches einen möglichen Auskunftsanspruch begründet. Das Auskunftsverlangen selbst ist nicht an eine Form gebunden. Die betroffene Person kann ihren Wunsch nach Datenauskunft per Brief, Fax, E-Mail, mündlich oder auf sonstige Art und Weise geltend machen. Sollte die eingegangene Erklärung der betroffenen Person unklar formuliert sein, liegt es am Verantwortlichen, diese auszulegen und zu entscheiden, ob es sich um die Geltendmachung eines Auskunftsanspruchs handelt.

Praxis-Tipp

Auslegung

Stellen Sie sich immer die Frage: "Was will die Person eigentlich sagen?" Beispielsweise kann in der Aussage "Ich weiß, dass ihr meine Daten habt! Gebt es zu!" ein Auskunftsverlangen gesehen werden. Im Zweifel sollte die fragliche Aussage notiert und der Datenschutzbeauftragte oder die Rechtsabteilung kontaktiert werden.

2.2 Notieren der Monatsfrist

Unmittelbar nach Eingang des Antrags ist die Frist zur Beantwortung des Auskunftsanspruchs zu notieren. Diese beträgt maximal einen Monat. Ein Versäumnis der Frist oder eine unzureichende Beantwortung des Anspruchs innerhalb der Frist kann zu Schadensersatzansprüchen der betroffenen Person führen.^[1] Die Beantwortung sollte daher so zeitnah wie möglich erfolgen.

Die Frist zur Beantwortung kann nur in wenigen Ausnahmefällen verlängert werden, beispielsweise wenn die vorhandenen Daten besonders umfangreich sind, oder viel Zeit darauf verwendet werden muss, durch Pseudonymisierung die Rechte Dritter zu schützen. Ist eine Fristverlängerung erforderlich, ist die betroffene Person innerhalb der Monatsfrist darüber zu informieren.^[2]

Hinweis

Eine Verkürzung der Monatsfrist durch die betroffene Person selbst ist unzulässig

In manchen Fällen setzen betroffene Personen dem Verantwortlichen eine kürzere Frist zur Beantwortung des Auskunftsanspruchs. Diese Form der Fristsetzung ist unwirksam.^[3] Setzt eine betroffene Person eine kürzere Frist, ist der Auskunftsanspruch wirksam, es gilt jedoch die gesetzliche Frist.

Wird der Auskunftsanspruch nicht oder nicht innerhalb der Monatsfrist (oder der Fristverlängerung) beantwortet, kann es dazu kommen, dass die betroffene Person einen Anspruch auf Schadensersatz geltend macht. Die Höhe dieses Schadensersatzanspruchs variiert von Fall zu Fall.^[4]

[1] Vgl. ArbG Duisburg, Urteil v. 23.3.2023, 3 Ca 44/23.

[2] LAG Niedersachsen, Urteil v. 22.10.2021, 16 Sa 761/20.

[3] Vgl. LAG Baden-Württemberg, Urteil v. 28.7.2023, 9 Sa 73/21.

[4] LAG Düsseldorf, Urteil v. 7.3.2024, 11 Sa 808/23: 750 EUR; AG Düsseldorf, Urteil v. 24.8.2023, 51 C 206/23: 500 EUR.

2.3 Verweigerung der Auskunft

Hinweis

Verweigerung nur in Ausnahmefällen

Verweigern Sie die Auskunft nur in absoluten Ausnahmefällen und halten Sie stets Rücksprache mit dem Datenschutzbeauftragen oder der ...