§ 6 Rechte des Betroffenen / II. Auskunftsanspruch – Welche Daten werden von wem, für wen verarbeitet und was kann ich dagegen tun?

Rz. 7

Soweit die betroffene Person gegenüber dem Verantwortlichen ihren Auskunftsanspruch aus Art. 15 Abs. 1 2. Hs. DSGVO erhebt, ist der Verantwortliche verpflichtet, der betroffenen Person umfassend Auskunft über die verarbeiteten Daten zu erteilen. Die Auskunft gliedert sich in einen "allgemeinen Teil" und einen "besonderen Teil". Letzterer umfasst eine Auflistung sämtlicher über die betroffene Person gespeicherten Daten und sonstiger personenbezogenen Informationen, die in Kopie an die betroffene Person auszuhändigen sind. Der allgemeine Teil der Auskunft ähnelt stark den Informationen, die dem Betroffenen nach Art. 13 oder 14 DSGVO ohnehin mitzuteilen bzw. zur Verfügung zu stellen sind. Er dient insoweit dazu, der betroffenen Person einen Überblick über die Verarbeitungen durch den Verantwortlichen zu geben.^[6]

[6] So auch Bäcker, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 15 Rn 14, der von einer "Grundorientierung" der betroffenen Person spricht.

1. Allgemeiner Teil des Auskunftsanspruches

Rz. 8

Zusätzlich zu den konkret auf die betroffene Person bezogenen Informationen und Daten hat der Verantwortliche dem Betroffenen Kataloginformationen zu übermitteln, deren Einzelheiten in den Buchstaben a) bis h) des ersten Absatzes der Norm geregelt sind.

a) Verarbeitungszwecke

Rz. 9

Die betroffene Person ist zunächst über die Verarbeitungszwecke, die vom Verantwortlichen verfolgt werden, zu informieren. Der Gegenstand der Auskunftspflicht ist stark an die Informationspflichten aus Art. 13 Abs. 1 lit. c) DSGVO und Art. 14 Abs. 1 lit. c) DSGVO orientiert, wenn auch nicht deckungsgleich. Die Auskunft nach dem Wortlaut des Art. 15 Abs. 1 lit. a) DSGVO erstreckt sich nicht auf die Rechtsgrundlagen der Verarbeitung.^[7] Im Übrigen gilt hinsichtlich der Darstellung der Verarbeitungszwecke (siehe § 5 Rdn 71) das zu Art. 13 Abs. 1 lit. c) DSGVO (siehe § 4 Rdn 351) und Art. 14 Abs. 1 lit. c) DSGVO Gesagte entsprechend.

[7] Bäcker, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 15 Rn 13, sieht hierfür keine rechten Grund und will daher – jedenfalls dort, wo die betroffene Person ein berechtigtes Interesse daran hat, auch die Rechtsgrundlagen der Verarbeitung zu erfahren, einen hierauf bezogenen Auskunftsanspruch als gegeben ansehen. Der Wortlaut der Norm gibt hierfür indes keinen rechten Ansatz, ob die Rechtsprechung eine derartige Erweiterung aus den allgemeinen Datenschutzgrundsätzen in Art. 5 DSGVO ableiten wird, bleibt abzuwarten.

b) Kategorien personenbezogener Daten die Verarbeitet werden

Rz. 10

Der "allgemeine Teil" der Auskunft enthält keine genauen Informationen zu den über die betroffene Person gespeicherten Daten, sondern beschränkt sich auf Angaben zu den Kategorien personenbezogener Daten, die vom Verantwortlichen verarbeitet werden. Die Auskunftspflicht ist inhaltsgleich mit der Informationspflicht aus Art. 14 Abs. 1 lit d.) DSGVO, so dass für die nähere Ausgestaltung auf die hierauf bezogenen Ausführungen verwiesen werden kann (siehe § 5 Rdn 72 ff.).

c) Empfänger oder Kategorien von Empfängern

Rz. 11

Nach Art. 15 Abs. 1 lit c) DSGVO hat sich der "allgemeine Teil" der Auskunft zudem auf die Empfänger oder Kategorien von Empfängern personenbezogener Daten zu erstrecken. Die Die Auskunftspflicht umfasst damit sämtliche Empfänger, denen zum Zeitpunkt des Auskunftsersuchens der betroffenen Person Daten bereits übermittelt oder sonst offengelegt wurden. Diese sind namentlich zu benennen. Um dem Betroffenen die Kontrolle der Datenverarbeitung insbesondere durch Dritte zu erlauben, hat sich die Auskunft nicht nur auf die Angabe des Namens der Empfänger, sondern darüber hinaus auch auf die Angabe ihrer ladungsfähigen Anschrift zu erstrecken. Da ein Auskunftsverlangen grundsätzlich auch elektronisch an den Verantwortlichen gerichtet werden kann, kann es im Betroffeneninteresse ratsam sein (soweit bekannt) auch über die Möglichkeit der elektronischen Kontaktaufnahme mit dem Empfänger zu informieren (bspw. über die Angabe einer E-Mail-Adresse). Dies ist jedoch kein Auskunftsbestandteil, der vom Verantwortlichen verlangt werden könne und dessen Nichtvorhandensein eine unvollständige Auskunft bedeuten würde. Wer hier "best in class" agieren will, kann die Auskunft gleichwohl auch auf diese Information erstrecken.

Rz. 12

Entsprechend der Rechtsprechung des EuGH^[8] erstreckt sich das Auskunftsrecht im Hinblick auf die Empfänger personenbezogener Daten nicht nur auf die Gegenwart, sondern auch auf die Vergangenheit.^[9] Aus Art. 15 Abs. 1 lit. c) ist eine Verpflichtung des Verantwortlichen zur Speicherung von Informationen zu Empfängern von personenbezogenen Daten und eine hierauf bezogene Aufbewahrungspflicht des Verantwortlichen über die Empfänger oder Kategorien der Empfänger der Daten abzuleiten. Die Aufbewahrungspflicht des Verantwortlichen kann sich insoweit an der Aufbewahrungspflicht der Basisdaten über den Betroffenen orientieren.^[10] Zu beachten ist jedoch, dass die Aufbewahrungspflicht auch den Verantwortlichen nicht "über Gebühr belasten" darf.^[11] Die Dauer ihrer Aufbewahrung, kann daher variieren. Der EuGH^[12] führt aus:

Zitat

"Ist die Dauer der Aufbewahrung der Basisdaten sehr lang,...