§ 6 Rechte des Betroffenen

A. Vorbemerkung

Rz. 1

Schon Art. 8 der Charta der Europäischen Grundrechte normiert in Abs. 2, dass jede Person das Recht hat, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und deren Berichtigung zu erwirken. Diese Rechtsstellung wird auch in der DSGVO nicht aufgegeben, sondern in einigen Bereichen im Vergleich zur Datenschutzrichtlinie erheblich erweitert. In Erwägungsgrund 39 der DSGVO heißt es:

Zitat

"Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen. Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz […] betrifft insbesondere […] deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffende personenbezogene Daten verarbeitet werden."

Rz. 2

Dementsprechend normiert die DSGVO umfassende Auskunfts-, Berichtigungs-, Löschungs- und Sperransprüche des Betroffenen mit Blick auf die über seine Person verarbeiteten personenbezogenen Daten. Diese Ansprüche werden begleitet von Widerspruchsrechten und dem neu in die DSGVO aufgenommenen Recht auf Datenübertragbarkeit.

B. Auskunftsrecht der betroffenen Person, Art. 15 DSGVO

Rz. 3

Das Auskunftsrecht der betroffenen Person ist in Art. 15 DSGVO verankert. Er ergänzt die Informationspflichten des Verantwortlichen aus Art. 13 und 14 DSGVO^[1] und trägt damit ebenfalls zur Durchsetzung des Transparenzgrundsatzes bei. Im direkten Vergleich – z.B. zur aktuellen Umsetzung der Auskunftsrechte in § 34 BDSG,^[2] der mit insgesamt neun Absätzen selbst für den fachkundigen Berater nur schwer zu lesen und zu verstehen war – ist dies eine wesentlich klarere, einfachere und definiertere Form.

Rz. 4

Der Auskunftsanspruch gestaltet sich zweistufig:

1.	Jede potentiell betroffene Person kann allgemein, d.h. nicht anlassbezogen[3] zunächst eine Bestätigung darüber verlangen, ob der Verantwortliche überhaupt personenbezogene Daten über den Betroffenen verarbeitet.
2.	Sofern dies der Fall ist, gewährt Art. 14 Abs. 1 DSGVO der betroffenen Person einen konkreten Anspruch dahingehend zu erfahren, welche Daten, zu welchen Zwecken beim Verantwortlichen verarbeitet werden und ob diese Daten auch Dritten zugänglich gemacht wurden, werden oder werden sollen.

Die nähere inhaltliche Ausgestaltung regeln die Buchstaben a) bis h) sowie die Absätze 2 und 3.

[1] So auch Bäcker, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 15 Rn 1.

[2] Hierzu ausführlich Kazemi/Leopold, Datenschutzrecht in der anwaltlichen Beratung, 2011, S. 244 ff.

[3] In Form des Nach- oder Ausforschungsanspruches.

I. Nachforschungsanspruch – Werden überhaupt Daten über mich verarbeitet?

Rz. 5

Art. 15 Abs. 1 Hs. 1 DSGVO normiert, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Die Formulierung "die betroffene Person" lässt auf den ersten Blick eine Einschränkung vermuten; tatsächlich handelt es sich jedoch bei Art. 15 Abs. 1 Hs. 1 DSGVO um einen anlasslosen (Nachforschungs-)Auskunftsanspruch, den grundsätzlich jede natürliche Person, die glaubt, ein Verantwortlicher könnte ggf. personenbezogene Daten über sie verarbeiten, geltend machen kann. Der in diesem Sinne befragte Verantwortliche hat dann zunächst festzustellen, ob er Daten über den Anfragenden verarbeitet. Beschränkt sich das Auskunftsersuchen allein auf die Frage danach, ob Daten verarbeitet werden, so teilt der Verantwortliche dies dem Betroffenen mit. Weitergehende Auskünfte muss er in diesem Fall nicht erbringen, insbesondere sind die Informationen nach Absatz 1 Buchstaben a) bis h) nicht ohne konkretes Verlangen der betroffenen Person an diese zu übermitteln. Der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO ist insoweit zweistufig^[4] aufgebaut. Die betroffene Person kann sich also entscheiden, ob sie fragt:

▪	"Verarbeiten Sie personenbezogene Daten über meine Person?" oder
▪	"Verarbeiten Sie Daten über meine Person und wenn ja, welche und in welcher Form?"

Rz. 6

Aus Sicht des Verantwortlichen spielt auch Art. 11 DSGVO eine bedeutende Rolle. Dieser ist, soweit die Identifizierung der betroffenen Person durch den Verantwortlichen nicht mehr möglich ist, nicht verpflichtet, zur bloßen Einhaltung der DSGVO zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren bzw. identifizieren zu können (Art. 11 Abs. 1 DSGVO). Kann der Verantwortliche die anfragende Person anhand der ihm vorliegenden Informationen nicht oder nicht mehr identifizieren, ist er berechtigt, die Frage, ob personenbezogene Daten über den Anfragenden verarbeitet werden, mit Nein zu beantworten (Art. 11 Abs. 2 S. 2 DSGVO).Kann er das Vorhandensein personenbezogener Daten einer betroffenen Person nicht gänzlich ausschließen, muss er jedoch darauf hinweisen, dass er anhand der vom Betroffenen im Rahmen einer Nachforschungsanfrage übermittelten Daten nic...