Liebe Leserinnen und Leser,
Wer personenbezogene Daten verarbeitet, entscheidet häufig über Informationen, die für die betroffene Person selbst kaum sichtbar sind. Unternehmen, Arbeitgeber, Versicherungen, Behörden oder andere Stellen speichern Daten, geben sie weiter, verwenden sie für bestimmte Zwecke oder treffen auf ihrer Grundlage Entscheidungen.
Genau hier setzt das Auskunftsrecht nach Art. 15 DSGVO an. Es gibt betroffenen Personen die Möglichkeit zu erfahren, ob und in welchem Umfang personenbezogene Daten über sie verarbeitet werden.
Das Auskunftsrecht ist damit eines der wichtigsten Betroffenenrechte der Datenschutz-Grundverordnung. Sein Ziel ist vor allem Transparenz: Wer wissen möchte, was mit den eigenen Daten geschieht, soll nicht darauf angewiesen sein, Vermutungen anzustellen. Die betroffene Person soll nachvollziehen können, welche Daten vorhanden sind, wofür sie genutzt werden und unter welchen Umständen die Verarbeitung erfolgt.
Wozu gibt es das Auskunftsrecht?
Der Grundgedanke ist einfach: Datenschutz kann nur wirksam sein, wenn die betroffene Person überhaupt weiß, welche Daten verarbeitet werden.
Wer beispielsweise nicht weiß, dass ein Unternehmen eine bestimmte Information gespeichert hat, kann auch kaum überprüfen, ob diese Information richtig ist oder ob sie überhaupt noch gespeichert werden darf.
Das Auskunftsrecht schafft deshalb die Grundlage dafür, weitere Datenschutzrechte wahrzunehmen. Erst wenn die betroffene Person weiß, welche Daten vorhanden sind, kann sie zum Beispiel prüfen, ob eine Berichtigung, Löschung oder Einschränkung der Verarbeitung in Betracht kommt.
Art. 15 DSGVO dient also nicht nur der Information. Er soll der betroffenen Person auch ermöglichen, die Rechtmäßigkeit der Datenverarbeitung zu kontrollieren und ihre weiteren Rechte wirksam durchzusetzen.
Wer kann Auskunft verlangen?
Auskunft verlangen kann die sogenannte betroffene Person. Gemeint ist die Person, auf die sich die verarbeiteten personenbezogenen Daten beziehen.
Dabei muss der Antrag grundsätzlich nicht in einer bestimmten Form gestellt werden. Ein Auskunftsersuchen kann daher grundsätzlich auch formlos erfolgen.
Hat der Verantwortliche allerdings begründete Zweifel daran, ob der Antrag tatsächlich von der betroffenen Person stammt, darf er zusätzliche Informationen verlangen, um deren Identität zu überprüfen. Das ist auch nachvollziehbar: Das Auskunftsrecht soll nicht dazu führen, dass personenbezogene Daten versehentlich an unbefugte Dritte herausgegeben werden.
Was erfährt man durch eine Auskunft?
Das Auskunftsrecht funktioniert vereinfacht in zwei Stufen.
Zunächst kann die betroffene Person fragen, ob überhaupt personenbezogene Daten über sie verarbeitet werden. Werden keine entsprechenden Daten verarbeitet, muss dies grundsätzlich mitgeteilt werden.
Werden dagegen personenbezogene Daten verarbeitet, geht die Auskunft deutlich weiter. Dann besteht ein Anspruch auf Informationen über die verarbeiteten personenbezogenen Daten und über verschiedene Umstände der Verarbeitung.
Dazu gehört zunächst die Frage, welche personenbezogenen Daten verarbeitet werden.
Der Begriff ist weiter, als man vielleicht zunächst denkt. Es geht nicht nur um typische Stammdaten wie Name, Anschrift oder Geburtsdatum. Auch interne Vermerke oder Notizen über Gespräche können personenbezogene Daten darstellen, wenn sie sich auf die betroffene Person beziehen.
Daneben muss der Verantwortliche weitere Informationen zur Datenverarbeitung erteilen.
Zu welchem Zweck werden die Daten verarbeitet?
Die betroffene Person darf erfahren, für welche Zwecke ihre Daten verarbeitet werden.
Diese Information ist besonders wichtig, weil personenbezogene Daten nicht einfach beliebig verwendet werden dürfen. Die Angabe der Verarbeitungszwecke soll es der betroffenen Person ermöglichen, nachzuvollziehen, warum ihre Daten überhaupt gespeichert oder genutzt werden.
Der zugrunde liegende Text weist außerdem darauf hin, dass umstritten ist, ob im Rahmen von Art. 15 stets auch die konkrete Rechtsgrundlage der Verarbeitung genannt werden muss. Aus praktischer Sicht kann diese Information allerdings sinnvoll sein, weil weitere Betroffenenrechte davon abhängen können, auf welcher Grundlage eine Verarbeitung erfolgt.
Welche Kategorien von Daten werden verarbeitet?
Auch die Kategorien personenbezogener Daten müssen angegeben werden.
Damit soll die betroffene Person einen Überblick darüber bekommen, welche Arten von Informationen über sie verarbeitet werden.
Besondere Bedeutung haben dabei besonders sensible personenbezogene Daten. Die Auskunft muss so konkret sein, dass die betroffene Person zumindest allgemein einschätzen kann, welche Inhalte Gegenstand der Verarbeitung sind.
An wen wurden die Daten weitergegeben?
Ein besonders wichtiger Bestandteil des Auskunftsrechts betrifft die Empfänger personenbezogener Daten.
Die betroffene Person kann grundsätzlich erfahren, wem gegenüber ihre Daten offengelegt wurden oder noch offengelegt werden sollen.
Dabei reicht es nach der im Ausgangstext dargestellten EuGH-Rechtsprechung grundsätzlich nicht immer aus, lediglich allgemeine Kategorien wie „Dienstleister“ oder „Behörden“ zu nennen. Grundsätzlich sind die konkreten Empfänger mitzuteilen. Nur unter bestimmten Umständen kann die Angabe von Empfängerkategorien genügen, etwa wenn konkrete zukünftige Empfänger noch nicht feststehen.
Wie lange werden die Daten gespeichert?
Zur Auskunft gehört außerdem die Speicherdauer.
Wenn möglich, soll der Verantwortliche angeben, wie lange die personenbezogenen Daten gespeichert werden. Lässt sich kein fester Zeitraum nennen, müssen zumindest die Kriterien erläutert werden, nach denen die Speicherdauer bestimmt wird.
Für die betroffene Person soll dadurch nachvollziehbar werden, wann ihre Daten voraussichtlich gelöscht werden beziehungsweise wovon der Zeitpunkt der Löschung abhängt.
Woher stammen die Daten?
Besonders interessant kann die Frage sein, woher bestimmte Informationen stammen.
Wenn personenbezogene Daten nicht direkt bei der betroffenen Person erhoben wurden, besteht grundsätzlich auch ein Anspruch auf Informationen über deren Herkunft.
Das kann allerdings schwierig werden, wenn dadurch beispielsweise die Identität eines Hinweisgebers offengelegt würde. In solchen Fällen können das Auskunftsinteresse der betroffenen Person und die Interessen anderer Personen miteinander kollidieren. Dann ist eine Abwägung erforderlich.
Gibt es auch einen Anspruch auf eine Kopie?
Ja. Art. 15 Abs. 3 DSGVO sieht vor, dass die betroffene Person grundsätzlich eine Kopie der verarbeiteten personenbezogenen Daten erhalten kann.
Dieses Recht auf Kopie ist für die Praxis besonders wichtig.
Dabei genügt es nicht in jedem Fall, nur eine knappe Zusammenfassung der gespeicherten Daten zu erstellen. Je nach Situation kann es erforderlich sein, Auszüge aus Dokumenten oder Datenbanken zur Verfügung zu stellen, wenn nur dadurch die personenbezogenen Daten verständlich wiedergegeben werden können.
Entscheidend ist, dass die betroffene Person ihre Daten und deren Verarbeitung nachvollziehen kann.
Das bedeutet allerdings nicht automatisch, dass immer komplette Dokumente oder vollständige Akten herausgegeben werden müssen. Das Auskunftsrecht bezieht sich auf die personenbezogenen Daten. Im Einzelfall kann es aber erforderlich sein, einen größeren Zusammenhang offenzulegen, damit diese Daten verständlich werden.
Was kostet eine Auskunft?
Grundsätzlich ist die Auskunft unentgeltlich.
Außerdem ist sie regelmäßig innerhalb eines Monats zu erteilen.
Nur in besonderen Fällen kann der Verantwortliche ein Entgelt verlangen oder ein Auskunftsersuchen ablehnen. Das kommt insbesondere bei offensichtlich unbegründeten oder exzessiven Anträgen in Betracht. Die Anforderungen dafür sind allerdings vergleichsweise hoch.
Auch ein hoher Arbeitsaufwand allein reicht grundsätzlich nicht aus, um einen Auskunftsantrag abzulehnen. Organisatorische Schwierigkeiten auf Seiten des Verantwortlichen sollen nicht einfach dazu führen, dass die betroffene Person ihr Recht verliert.
Wo liegen die Grenzen des Auskunftsrechts?
Das Auskunftsrecht ist weitreichend, aber nicht grenzenlos.
Eine wichtige Grenze bilden die Rechte und Freiheiten anderer Personen.
Das kann beispielsweise relevant werden, wenn Unterlagen neben den Daten der anfragenden Person auch personenbezogene Daten anderer Menschen, Geschäftsgeheimnisse oder andere geschützte Informationen enthalten.
Das bedeutet aber nicht automatisch, dass die gesamte Auskunft verweigert werden darf. Stattdessen kommen beispielsweise Schwärzungen oder Teilauskünfte in Betracht. Ziel ist es, einen angemessenen Ausgleich zwischen dem Auskunftsinteresse der betroffenen Person und den schutzwürdigen Interessen anderer zu finden.
Das Auskunftsrecht nach Art. 15 DSGVO ist im Kern ein Transparenzrecht.
Es ermöglicht jedem Betroffenen, sich einen Überblick darüber zu verschaffen, was mit seinen personenbezogenen Daten geschieht. Dazu gehört nicht nur die Frage, welche Daten gespeichert sind. Die Auskunft kann auch Informationen über die Zwecke der Verarbeitung, Datenkategorien, Empfänger, Speicherdauer, Datenquellen und weitere Umstände der Verarbeitung umfassen.
Besonders wichtig ist außerdem das Recht auf eine Kopie der personenbezogenen Daten.
Für betroffene Personen ist Art. 15 DSGVO deshalb häufig der Ausgangspunkt, um überhaupt beurteilen zu können, ob eine Datenverarbeitung korrekt abläuft und ob weitere Rechte geltend gemacht werden sollten.
Für Verantwortliche zeigt die Vorschrift gleichzeitig, wie wichtig eine nachvollziehbare Organisation der eigenen Datenverarbeitung ist. Denn wer personenbezogene Daten verarbeitet, muss im Zweifel auch erklären können, welche Daten er hat, warum er sie verarbeitet, woher sie stammen und an wen sie weitergegeben wurden.
Und genau darum geht es beim Auskunftsrecht: Die Verarbeitung personenbezogener Daten soll für die betroffene Person kein unsichtbarer Vorgang bleiben.
Bei Fragen stehe ich Ihnen jederzeit zur Verfügung.
Viele Grüße aus Aachen
Ingo Goblirsch