Rz. 16
Art. 15 Abs. 3 DSGVO legt speziell für die Auskunftserteilung über die personenbezogenen Daten der betroffenen Person fest, dass die Informationen in Form einer Kopie oder in einem elektronischen Format zur Verfügung gestellt werden. Er ergänzt damit die Forderungen des Art. 12 DSGVO, der allgemein die Modalitäten für die Ausübung der Rechte der betroffenen Person regelt.
2.2.1 Form der Auskunftserteilung gemäß Art. 12 Abs. 1 und Art. 15 Abs. 3 DSGVO
Rz. 17
Es gilt zunächst Art. 12 Abs. 1 Satz 1 DSGVO, nach dem der Verantwortliche auch für die Auskunft nach Art. 15 DSGVO geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Dies entspricht laut EG 58 DSGVO dem Grundsatz der Transparenz (Art. 5 Abs. 1 Buchst. a DSGVO), der voraussetzt, dass eine für die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und ggf. zusätzlich visuelle Elemente verwendet werden (vgl. auch die Komm. zu § 35 SGB I, Grundsatz der Transparenz, Rz. 42).
Rz. 18
Die Übermittlung der Informationen erfolgt nach Art. 12 Abs. 1 Satz 2 DSGVO schriftlich oder in anderer Form, ggf. auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde (Art. 12 Abs. 1 Satz 3 DSGVO).
Rz. 19
Art. 15 Abs. 3 Satz 1 DSGVO ergänzt bzw. konkretisiert diese Modalitäten des Art. 12 DSGVO für die Auskunft nach Art. 15 Abs. 1 DSGVO. Danach stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.
Rz. 20
Nach Art. 15 Abs. 3 Satz 3 DSGVO sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, wenn die betroffene Person den Antrag elektronisch stellt und nichts anderes angibt. Dies setzt den EG 63 DSGVO um, nachdem der Verantwortliche der betroffenen Person möglichst den Fernzugang zu einem sicheren System bereitstellen sollte, der ihr direkten Zugang zu ihren personenbezogenen Daten ermöglicht.
In diesem Fall sollte auch die Eingangsbestätigung und ggf. die Mitteilung über die Fristverlängerung nach Möglichkeit auf elektronischem Weg übermittelt werden (Rz. 21).
Der Verantwortliche sollte hierbei alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Fall von Online-Kennungen (EG 64 DSGVO).
2.2.2 Fristen gemäß Art. 12 Abs. 3 und 4 DSGVO
Rz. 21
Der Verantwortliche stellt gemäß Art. 12 Abs. 3 DSGVO der betroffenen Person Informationen über die auf Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Der Begriff "unverzüglich" ist im Datenschutzrecht weder in Deutschland noch in der DSGVO definiert. § 121 Abs. 1 Satz 1 BGB enthält eine Legaldefinition des Begriffes für das gesamte deutsche Recht. Unverzüglich bedeutet demnach "ohne schuldhaftes Zögern".
Diese Frist kann um weitere 2 Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.
Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung zusammen mit den Gründen für die Verzögerung.
Rz. 22
Kann der Verantwortliche auf den Antrag der betroffenen Person nicht tätig werden, so hat er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, zu unterrichten (Art. 12 Abs. 4 DSGVO).
2.2.3 Kosten gemäß Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO
Rz. 23
Alle Mitteilungen und Maßnahmen gemäß Art. 15 sind unentgeltlich zur Verfügung zu stellen nach Art. 12 Abs. 5 Satz 1 DSGVO. Dies gilt auch für die nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellende Kopie über die verarbeiteten personenbezogenen Daten. Diese ist zunächst unentgeltlich, wie sich aus Art. 15 Abs 3 Satz 2 DSGVO ergibt, nach dem für alle weiteren Kopien, die die betroffene Person beantragt, der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen kann.
Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche nach Art. 12 Abs. 5 Satz 2 DSGVO entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten berücksichtigt werden, oder sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat dann den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.