Rz. 3
"Die betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können". Dieser Erwägungsgrund (EG) 63 der DSGVO wird mit Art. 15 Abs. 1 DSGVO umgesetzt (Rz. 4).
"Wie schon nach der bisherigen Rechtslage haben betroffene Personen das Recht mit formlosem Antrag und ohne Begründung von einem Verantwortlichen Auskunft über dort gespeicherte personenbezogene Daten zu verlangen" (Offizielles Kurzpapier der unabhängigen Datenschutzbehörden des Bundes und der Länder – Datenschutzkonferenz – DSK).
Sofern der Verantwortliche eine große Menge von Informationen über die betroffene Person verarbeitet, hat die betroffene Person zu präzisieren, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht (EG 63 DSGVO).
Art. 15 Abs. 2 DSGVO enthält ergänzende Rechte, für den Fall, dass personenbezogene Daten in ein Drittland übermittelt wurden (Rz. 6). Art. 15 Abs. 3 und 4 DSGVO regelt die Form der Auskunftserteilung und mögliche Einschränkungen (Rz. 12 ff.).
Anders als bei den Informationspflichten nach Art. 13 und 14 DSGVO geht hier der Impuls zum Tätigwerden des Verantwortlichen von der betroffenen Person aus, wie sich aus den Worten "hat das Recht ... zu verlangen" ergibt.
2.1.1 Umfang des Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO
Rz. 4
Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person zunächst das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.
Sofern dies der Fall ist, hat sie ein Recht auf Auskunft über diese personenbezogenen Daten. Dies schließt Daten in ihren Patientenakten ein, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten (EG 63 DSGVO).
Neben dieser Auskunft über den "Bestand" an personenbezogenen Daten hat die betroffene Person nach Art. 15 Abs. 1 HS 2 DSGVO das Recht auf folgende Informationen:
- die Verarbeitungszwecke (Buchst. a), dies korrespondiert mit dem Grundsatz der Zweckbindung aus Art. 5 Abs. 1 Buchst. b DSGVO (vgl. die Komm. zu § 35 SGB I);
- die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b);
- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen (Buchst. c);
- falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Buchst. d);
- das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung (Buchst. e);
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Buchst. f);
- wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten (Buchst. g);
- das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (Buchst. h).
Rz. 5
Die Informationen nach Art. 15 Abs. 1 Buchst. a und c DSGVO gehören zu den Informationen, die der betroffenen Person bereits unmittelbar bei der Erhebung gemäß Art. 13 Abs. 1 DSGVO mitzuteilen sind (vgl. die Komm. zu § 82 Rz. 7).
Rz. 6
Die Informationen nach Art. 15 Abs. 1 Buchst. d, e, f und h DSGVO sind der betroffenen Person bereits gemäß Art. 13 Abs. 2 DSGVO bei der Datenerhebung zur Verfügung zu stellen (vgl. die Komm. zu § 82 Rz. 9).
Rz. 7
Die Information über die Herkunft personenbezogener Daten, die nicht bei der betroffenen Person erhoben wurden (Art. 15 Abs. 1 Buchst. g DSGVO) korrespondiert mit der Informationspflicht nach Art. 14 Abs. 2 Buchst. f DSGVO (vgl. die Komm. zu § 82a Rz. 7).
Rz. 8
Auch die Auskunft über die verarbeiteten Kategorien personenbezogener Daten nach Art. 15 Abs. 1 Buchst. b DSGVO sind der betroffenen Person bereits gemäß Art. 14 Abs. 1 Buchst. d DSGVO mitzuteilen (vgl. die Komm. zu § 82a Rz. 6).
Rz. 9
Sofern die Stellen nach § 35 SGB I ihre Informationspflichten nach Art. 13 und 14 DSGVO umfassend erfüllen und dem zugrunde liegenden Gedanken einer Transparenz der Verarbeitung Genüge tun, hat die betreffende Person wenig Grund zusätzlich von ihrem Auskunftsrecht nach Art. 15 DSGVO Gebrauch zu machen, da ihr die wesentlichen Informationen bereits bekannt sind bzw. zur Verfügung stehen.
Dies bedeutet aber nicht, dass ein entsprechender Antrag der betroffenen Perso...