§ 6 Rechte des Betroffenen / 1. Allgemeiner Teil des Auskunftsanspruches

Rz. 8

Zusätzlich zu den konkret auf die betroffene Person bezogenen Informationen und Daten hat der Verantwortliche dem Betroffenen Kataloginformationen zu übermitteln, deren Einzelheiten in den Buchstaben a) bis h) des ersten Absatzes der Norm geregelt sind.

a) Verarbeitungszwecke

Rz. 9

Die betroffene Person ist zunächst über die Verarbeitungszwecke, die vom Verantwortlichen verfolgt werden, zu informieren. Der Gegenstand der Auskunftspflicht ist stark an die Informationspflichten aus Art. 13 Abs. 1 lit. c) DSGVO und Art. 14 Abs. 1 lit. c) DSGVO orientiert, wenn auch nicht deckungsgleich. Die Auskunft nach dem Wortlaut des Art. 15 Abs. 1 lit. a) DSGVO erstreckt sich nicht auf die Rechtsgrundlagen der Verarbeitung.^[7] Im Übrigen gilt hinsichtlich der Darstellung der Verarbeitungszwecke (siehe § 5 Rdn 71) das zu Art. 13 Abs. 1 lit. c) DSGVO (siehe § 4 Rdn 351) und Art. 14 Abs. 1 lit. c) DSGVO Gesagte entsprechend.

[7] Bäcker, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 15 Rn 13, sieht hierfür keine rechten Grund und will daher – jedenfalls dort, wo die betroffene Person ein berechtigtes Interesse daran hat, auch die Rechtsgrundlagen der Verarbeitung zu erfahren, einen hierauf bezogenen Auskunftsanspruch als gegeben ansehen. Der Wortlaut der Norm gibt hierfür indes keinen rechten Ansatz, ob die Rechtsprechung eine derartige Erweiterung aus den allgemeinen Datenschutzgrundsätzen in Art. 5 DSGVO ableiten wird, bleibt abzuwarten.

b) Kategorien personenbezogener Daten die Verarbeitet werden

Rz. 10

Der "allgemeine Teil" der Auskunft enthält keine genauen Informationen zu den über die betroffene Person gespeicherten Daten, sondern beschränkt sich auf Angaben zu den Kategorien personenbezogener Daten, die vom Verantwortlichen verarbeitet werden. Die Auskunftspflicht ist inhaltsgleich mit der Informationspflicht aus Art. 14 Abs. 1 lit d.) DSGVO, so dass für die nähere Ausgestaltung auf die hierauf bezogenen Ausführungen verwiesen werden kann (siehe § 5 Rdn 72 ff.).

c) Empfänger oder Kategorien von Empfängern

Rz. 11

Nach Art. 15 Abs. 1 lit c) DSGVO hat sich der "allgemeine Teil" der Auskunft zudem auf die Empfänger oder Kategorien von Empfängern personenbezogener Daten zu erstrecken. Die Die Auskunftspflicht umfasst damit sämtliche Empfänger, denen zum Zeitpunkt des Auskunftsersuchens der betroffenen Person Daten bereits übermittelt oder sonst offengelegt wurden. Diese sind namentlich zu benennen. Um dem Betroffenen die Kontrolle der Datenverarbeitung insbesondere durch Dritte zu erlauben, hat sich die Auskunft nicht nur auf die Angabe des Namens der Empfänger, sondern darüber hinaus auch auf die Angabe ihrer ladungsfähigen Anschrift zu erstrecken. Da ein Auskunftsverlangen grundsätzlich auch elektronisch an den Verantwortlichen gerichtet werden kann, kann es im Betroffeneninteresse ratsam sein (soweit bekannt) auch über die Möglichkeit der elektronischen Kontaktaufnahme mit dem Empfänger zu informieren (bspw. über die Angabe einer E-Mail-Adresse). Dies ist jedoch kein Auskunftsbestandteil, der vom Verantwortlichen verlangt werden könne und dessen Nichtvorhandensein eine unvollständige Auskunft bedeuten würde. Wer hier "best in class" agieren will, kann die Auskunft gleichwohl auch auf diese Information erstrecken.

Rz. 12

Entsprechend der Rechtsprechung des EuGH^[8] erstreckt sich das Auskunftsrecht im Hinblick auf die Empfänger personenbezogener Daten nicht nur auf die Gegenwart, sondern auch auf die Vergangenheit.^[9] Aus Art. 15 Abs. 1 lit. c) ist eine Verpflichtung des Verantwortlichen zur Speicherung von Informationen zu Empfängern von personenbezogenen Daten und eine hierauf bezogene Aufbewahrungspflicht des Verantwortlichen über die Empfänger oder Kategorien der Empfänger der Daten abzuleiten. Die Aufbewahrungspflicht des Verantwortlichen kann sich insoweit an der Aufbewahrungspflicht der Basisdaten über den Betroffenen orientieren.^[10] Zu beachten ist jedoch, dass die Aufbewahrungspflicht auch den Verantwortlichen nicht "über Gebühr belasten" darf.^[11] Die Dauer ihrer Aufbewahrung, kann daher variieren. Der EuGH^[12] führt aus:

Zitat

"Ist die Dauer der Aufbewahrung der Basisdaten sehr lang, kann das Interesse der betroffenen Person an der Geltendmachung der Auskunftsrechte in bestimmten Fällen nachlassen. Sind z.B. die Empfänger solcher Daten zahlreich oder ist die Frequenz der Übermittlungen an eine geringere Zahl von Empfängern hoch, könnte die Pflicht, die Information über die Empfänger oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten genauso lange aufzubewahren, den für die Verarbeitung Verantwortlichen über Gebühr belasten."

Die Aufbewahrung der Empfängerdaten für den Zeitraum von lediglich einem Jahr ist unter Berücksichtigung der Verantwortlicheninteressen zu kurz. Die Kosten für Massenspeicher werden immer geringer, sodass eine Aufbewahrung über einen Mindestzeitraum von jedenfalls fünf Jahren erwartet werden kann.

Rz. 13

Die Auskunft über die Empfänger von Daten bezieht sich zudem auf den genauen Inhalt der den Empfängern übermittelten oder in sonstiger Weise offengelegten Informationen.^[13] Dies schließt ei...