Auskunftsanspruch

Die DS-GVO hat die Position Betroffener gestärkt und sie mit einer Menge unterschiedlicher Rechte ausgestattet. Eines dieser Rechte ist der Auskunftsanspruch, der betroffene Personen berechtigt zu erfragen, ob und wie ihre personenbezogenen Daten von dem jeweiligen Unternehmen verarbeitet werden. Machen sie dieses Recht gegenüber dem Verantwortlichen geltend, spricht man von einem Auskunftsersuchen.

Form und Umfang des Auskunftsanpruchs

Formale Anforderungen an das Auskunftsersuchen gibt es nicht, jede Form ist zulässig und auch sonst müssen keine Voraussetzungen beachtet werden. Das Fehlen formaler Hürden unterstreicht die besondere Bedeutung, die der Auskunftsanspruch für betroffene Personen hat. Der Auskunftsanspruch soll nämlich sicherstellen, dass betroffene Personen jederzeit leicht Zugang zu den Informationen haben, die für eine transparente Verarbeitung ihrer Daten notwendig sind. Daneben versetzt der Inhalt des Auskunftsanspruchs betroffene Personen erst in die Lage, die Rechtmäßigkeit der Datenverarbeitung zu prüfen und andere Rechte wie etwa das Recht auf Berichtigung, Sperrung oder Löschung geltend zu machen.

Inhaltlich dürfen Betroffene mit dem Auskunftsanspruch erfragen,

• zu welchem Zweck ihre Daten verarbeitet werden.
• welche Kategorien von Daten von der Verarbeitung betroffen sind.
• welche Gruppen von Empfängern ihre Daten erhalten.
• wie lange ihre Daten gespeichert werden.
• aus welcher Quelle die Daten stammen.
• welche weiteren Rechte sie haben.
• ggf. welche Logiken bei automatisierten Entscheidungen angewendet werden.

Zudem muss dem Betroffenen eine Kopie der personenbezogenen Daten, die verarbeitet werden, zur Verfügung gestellt werden.

Ausnahmen vom Auskunftsanspruch

Das Recht auf Auskunft ist sehr weitreichend und der Anspruch besteht nur in wenigen Ausnahmefällen nicht, nämlich wenn Rechte anderer Personen beeinträchtigt werden. An diese Einschränkung werden hohe Anforderungen gestellt, beispielsweise steht einem Auskunftsersuchen ein bestehender Geheimhaltungsgrundsatz nicht zwangsweise entgegen. Vielmehr müssen die Interessen im Einzelfall abgewogen werden. Das LG Baden-Württemberg entschied beispielsweise, dass Betroffene Anspruch auf Auskunft über ihre personenbezogenen Leistungs- und Verhaltensdaten, d. h., insbesondere auf ihre Personalakte, haben, auch wenn darin Informationen zu internen Ermittlungen und Hinweisgebern enthalten sind (Urteil v. 20.12.2018, Az.: 17 Sa 11/18).

Weitere Ausnahmen vom Auskunftsanspruch sind Auskunftsersuchen, bei denen sich die betroffene Person nicht eindeutig identifizieren lässt oder wenn Anträge auf Auskunftserteilung ein exzessives Ausmaß annehmen oder offensichtlich unbegründet sind. Lässt sich die Person, die ihren Auskunftsanspruch geltend gemacht hat, nicht eindeutig identifizieren, handelt es sich nicht nur um einen Fall von „die begehrte Auskunft muss nicht erteilt“ werden, sondern vielmehr liegt sogar ein datenschutzrechtliches Verbot der Auskunftserteilung vor. Es bestünde nämlich das Risiko, dass personenbezogene Daten einer unbefugten Person zugänglich gemacht würden, was einen meldepflichtigen Datenschutzvorfall darstellen würde.

Bearbeitung von Auskunftsersuchen

Wie auch bei den übrigen Betroffenenrechten werden an die Bearbeitung von Auskunftsersuchen strenge Vorgaben gestellt. Generell gilt, dass Unternehmen nur einen Monat Zeit haben, um auf Betroffenenanfragen zu reagieren und die geltend gemachten Betroffenenrechte zu erfüllen. Hierzu gehört auch die Identifikation der jeweiligen Person und die Prüfung, ob das geltend gemachte Recht überhaupt besteht. Zudem muss die Bearbeitung ordnungsgemäß dokumentiert werden, um der Rechenschaftspflicht nachzukommen und etwaige Nachfragen seitens des Betroffenen oder der Aufsichtsbehörde beantworten zu können.