§ 12 Datenschutzrecht / d) Prozess zur Umsetzung von Betroffenenrechten

Rz. 10

Weiterhin muss das Unternehmen die Umsetzung der Betroffenenrechte nach Art. 12 ff. DSGVO sicherstellen.

Rz. 11

Dies betrifft die Information der Betroffenen gemäß Art. 13, 14 DSGVO. Der Verantwortliche muss bei Datenerhebung dem Betroffenen aufzeigen, für welche Zwecke die Daten verwendet werden und an wen sie weitergegeben werden. Zudem sind die Löschregeln zu benennen.

Rz. 12

In der Praxis besonders relevant ist der Anspruch auf Auskunft des Betroffenen nach Art. 15 DSGVO. Dieser Auskunftsanspruch umfasst alle Daten, die zum Betroffenen gespeichert werden. Auch wenn keine Daten zum Betroffenen durch den Verantwortlichen gespeichert werden, muss ihm gegenüber dies bestätigt werden (sog. "Negativauskunft").

Rz. 13

Die Reichweite des Auskunftsanspruchs ist noch nicht abschließend geklärt. Erste Leitlinien lassen sich wie folgt zusammenfassen. Der Auskunftsanspruch ist ein wichtiges Recht für den Betroffenen, um eine Kontrolle über die Verarbeitung seiner Daten durch den Verantwortlichen zu erreichen. So soll es dem Betroffenen ermöglicht werden, eine Korrektur oder ggf. auch eine Löschung seiner Daten zu verlangen oder Widerspruch gegen die Datenverarbeitung einzulegen. Macht der Betroffene einen pauschalen Auskunftsanspruch geltend ("Auskunft über alle personenbezogenen Daten"), sollten dem Antragsteller gegenüber zunächst die sog. Stammdaten und die Daten beauskunftet werden, bei denen davon auszugehen ist, dass eine Beauskunftung im Interesse des Antragstellers liegt. Gerade bei einem pauschalen Auskunftsersuchen ist es auch gerechtfertigt, zunächst nur die Kategorien von Empfängern zu benennen. Sofern es der Betroffene verlangt, sind ihm die einzelnen Empfänger konkret zu benennen.^[8] Der Antragsteller ist aufzufordern, sein Auskunftsersuchen ggf. weiter zu spezifizieren.^[9]

Rz. 14

Zu den der Beauskunftung unterliegenden Daten gehören nach Art. 15 Abs. 1 DSGVO insbesondere folgende Angaben:

▪	Verarbeitungszwecke
▪	Kategorien von Daten, die verarbeitet werden
▪	Empfänger oder Kategorien von Empfängern
▪	geplante Dauer der Datenverarbeitung oder Aussagen zu Löschregeln
▪	Rechte des Betroffenen (Recht auf Korrektur, Widerspruch oder Löschung)
▪	Beschwerderecht bei Aufsichtsbehörde
▪	Informationen über Herkunft der Daten, sofern Daten nicht beim Betroffenen erhoben wurden
▪	Bestehen einer automatisierten Einzelentscheidung (sofern relevant)

Rz. 15

Der Auskunftsanspruch steht aber unter den Einschränkungen des Art. 12 Abs. 5 DSGVO. Er darf ferner nicht rechtsmissbräuchlich geltend gemacht werden. Mit dem Auskunftsanspruch muss der Betroffene das Ziel verfolgen, die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten überprüfen zu wollen.^[10] Die Beantwortung des Auskunftsanspruchs darf zu keinem unverhältnismäßigen Aufwand^[11] beim Unternehmen führen und steht zudem unter dem Vorbehalt, dass keine Geschäftsgeheimnisse (Art. 15 Abs. 4 DSGVO) verletzt werden. Außerdem muss die Auskunft auch frei von Rechten Dritter (Art. 15 Abs. 4 DSGVO) erteilt werden.

Rz. 16

Weiterhin hat der Betroffene einen Anspruch auf Datenkopien nach Art. 15 Abs. 3 DSGVO. Dies bedeutet Folgendes: Dem Betroffenen ist ein Ausdruck der Daten auszuhändigen, wie sie in der Datenbank vorhanden sind. Dies betrifft nur Daten, die auch dem Auskunftsanspruch unterliegen. Der Auskunftsanspruch bzw. das Recht auf Kopie stellen kein erweitertes Akteneinsichtsrecht dar.^[12] Auch die rechtliche Einordnung des Rechts auf Kopie ist noch umstritten.^[13]

Rz. 17

Die Beantwortung eines Auskunftsersuchens muss innerhalb eines Monats nach Eingang erfolgen (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um maximal zwei Monate kann aufgrund der Komplexität und der Anzahl der Anträge erfolgen, muss aber gegenüber dem Antragsteller begründet werden.

Rz. 18

Die Erteilung einer Auskunft setzt die sichere Identifikation des Antragstellers voraus. Es muss sichergestellt werden, dass die zu beauskunftenden Daten nicht unbefugten Dritten zur Verfügung gestellt werden. Eine mündliche Auskunft hat daher zu unterbleiben. Im Fall einer elektronischen Datenübertragung muss auf eine ausreichende Verschlüsselung der Daten geachtet werden. Sofern begründete Zweifel an der Identität des Antragstellers bestehen, kann das Unternehmen weitere Angaben zur Bestätigung der Identität des Betroffenen anfordern.

Rz. 19

Die Auskunft sollte schriftlich oder elektronisch erteilt werden. Eine mündliche Auskunft ist aufgrund der erforderlichen sicheren Identifikation des Antragstellers nicht zu empfehlen.

Rz. 20

Unternehmen sollten zur Beantwortung von Auskunftsersuchen ein entsprechendes Muster vorhalten, um ein Auskunftsersuchen zeitnah beantworten zu können. Das Unternehmen muss das Muster auf die jeweilige Situation anpassen, je nachdem, ob Kunden, Mitarbeiter oder sonstige Dritte Auskunft zu ihren personenbezogenen Daten verlangen.

[8] Vgl. Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, 35. Datenschutz-Tätigkeitsbericht 2019, Abschnitt 1.7.

[9] Vgl. LG He...