Jansen, SGB X § 83 Auskunftsrecht der betroffenen Personen / 2.1.1 Umfang des Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO

Rz. 4

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person zunächst das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.

Sofern dies der Fall ist, hat sie ein Recht auf Auskunft über diese personenbezogenen Daten. Dies schließt Daten in ihren Patientenakten ein, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten (EG 63 DSGVO).

Neben dieser Auskunft über den "Bestand" an personenbezogenen Daten hat die betroffene Person nach Art. 15 Abs. 1 HS 2 DSGVO das Recht auf folgende Informationen:

• die Verarbeitungszwecke (Buchst. a), dies korrespondiert mit dem Grundsatz der Zweckbindung aus Art. 5 Abs. 1 Buchst. b DSGVO (vgl. die Komm. zu § 35 SGB I);
• die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b);
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen (Buchst. c);
• falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Buchst. d);
• das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung (Buchst. e);
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Buchst. f);
• wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten (Buchst. g);
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (Buchst. h).

Rz. 5

Die Informationen nach Art. 15 Abs. 1 Buchst. a und c DSGVO gehören zu den Informationen, die der betroffenen Person bereits unmittelbar bei der Erhebung gemäß Art. 13 Abs. 1 DSGVO mitzuteilen sind (vgl. die Komm. zu § 82 Rz. 7).

Rz. 6

Die Informationen nach Art. 15 Abs. 1 Buchst. d, e, f und h DSGVO sind der betroffenen Person bereits gemäß Art. 13 Abs. 2 DSGVO bei der Datenerhebung zur Verfügung zu stellen (vgl. die Komm. zu § 82 Rz. 9).

Rz. 7

Die Information über die Herkunft personenbezogener Daten, die nicht bei der betroffenen Person erhoben wurden (Art. 15 Abs. 1 Buchst. g DSGVO) korrespondiert mit der Informationspflicht nach Art. 14 Abs. 2 Buchst. f DSGVO (vgl. die Komm. zu § 82a Rz. 7).

Rz. 8

Auch die Auskunft über die verarbeiteten Kategorien personenbezogener Daten nach Art. 15 Abs. 1 Buchst. b DSGVO sind der betroffenen Person bereits gemäß Art. 14 Abs. 1 Buchst. d DSGVO mitzuteilen (vgl. die Komm. zu § 82a Rz. 6).

Rz. 9

Sofern die Stellen nach § 35 SGB I ihre Informationspflichten nach Art. 13 und 14 DSGVO umfassend erfüllen und dem zugrunde liegenden Gedanken einer Transparenz der Verarbeitung Genüge tun, hat die betreffende Person wenig Grund zusätzlich von ihrem Auskunftsrecht nach Art. 15 DSGVO Gebrauch zu machen, da ihr die wesentlichen Informationen bereits bekannt sind bzw. zur Verfügung stehen.

Dies bedeutet aber nicht, dass ein entsprechender Antrag der betroffenen Person allein unter Hinweis auf das Erfüllen der Informationspflichten nach Art. 13 und 14 DSGVO abgelehnt werden darf. Das Auskunftsrecht steht der betroffene Person unabhängig davon zu, auch "um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können" (EG 63 DSGVO).

Rz. 10

Achtung

Für die Stellen nach § 35 SGB I gelten die ergänzenden Ausnahmeregelungen der nationalen Vorschriften, also ggf. § 34 BDSG (Rz. 24 ff.) oder sofern vorhanden der entsprechenden Landesdatenschutzgesetze und vor allem des § 83 (vgl. Rz. 30 ff.).