Typische Fallstricke bei der Erfüllung des Auskunftsrechts

Die Geltendmachung des Auskunftsrechts gemäß Art. 15 DSGVO erfährt immer größere Beliebtheit. Bei der Bearbeitung warten einige Fallstricke auf. Selbst wenn man dem Ersuchen nachkommt, kann es bei der Bearbeitung der Auskunft zu Fehlern kommen, die schlimmstenfalls mit einem Bußgeld geahndet werden. Wir haben die wichtigsten Fallgruppen zusammengestellt.

Das Auskunftsersuchen wird nicht vollständig erfüllt

Damit die Erfüllung des Anspruchs eintritt, müssen selbstverständlich die in Art. 15 Abs. 1 DSGVO genannten Informationen erteilt werden. Diese sind:

• Die Verarbeitungszwecke;
• die Kategorien personenbezogener Daten;
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
• falls möglich, die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
• das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
• wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Drittlandsbezug

Übersehen wird aber oft, dass für den Fall, dass personenbezogene Daten an ein Drittland oder eine internationale Organisation übermittelt werden, zudem Auskunft über die geeigneten Garantien gem. Art. 46 DSGVO zu geben (Art. 15 Abs. 2 DSGVO).

Metadaten

Auch werden manchmal bestimmte Datenarten übersehen.

Beauskunftet werden müssen sowohl die eigentlichen Daten selbst, welche zum Zeitpunkt der Anfrage beim Verantwortlichen vorhanden sind, als auch Zusatzinformationen dazu. Dabei handelt es sich um so genannte Metadaten. Die Auskunft über solche Metadaten misslingt manchmal.

Beispiel: Zu den Metadaten einer Computerdatei gehören unter anderem der Dateiname, die Zugriffsrechte und das Datum der letzten Änderung. Wenn eine betroffene Person also ihr Recht auf Auskunft zu E-Mails ausüben möchte, müssen sowohl die Metadaten (Zeitstempel, Empfänger …) als auch der Inhalt der E-Mails zur Verfügung gestellt werden.

Art. 15 DSGVO nennt im Sinne von Metadaten bestimmte Informationskategorien, hinsichtlich derer der Verantwortliche der betroffenen Person in der Regel bereits bei oder nach der Datenerhebung gemäß Art. 13 DSGVO und Art. 14 DSGVO eine Mitteilung machen musste. Die frühere Mitteilung ändert allerdings nichts an dem Auskunftsrecht, denn dieses steht selbstständig neben den Informationspflichten. Die Metainformationen müssen zum Zeitpunkt der Auskunftserteilung aktuell sein. Zudem kann es notwendig sein, dass Metainformationen selbst erst gespeichert werden müssen, um sie beauskunften zu können. Das ist zulässig, auch wenn der Verantwortliche sie für eigene Zwecke nicht oder nicht mehr benötigt.

Personenbezogene Daten können sogar dann vorliegen, wenn diese mittels eines Hash-Verfahrens und anschließender Überschlüsselung pseudonymisiert worden sind.

Empfänger werden weggelassen

Der EuGH legt dabei fest, dass die betroffenen Personen das Recht haben, die genaue Information über bestimmte Empfänger zu erhalten oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern. Kategorien von Empfängern dürfen nur dann genannt werden, wenn der Verantwortliche die einzelnen Empfänger tatsächlich nicht identifizieren kann (z.B., weil er sie nicht kennt) oder der Auskunftsantrag der betroffenen Person offenkundig unbegründet oder exzessiv ist (Art. 12 Abs. 5 DSGVO) und der Verantwortliche dies nachweisen kann. In der Praxis sollten Unternehmen daher in aller Regel Auskunft über die konkreten Empfänger der personenbezogenen Daten erteilen und nur in Ausnahmefällen auf die Nutzung von Empfängerkategorien zurückgreifen.

Negativauskunft wird vergessen

Auch eine sogenannte Negativauskunft ist zu erteilen. Die Antwort des Verantwortlichen kann negativ ausfallen, soweit der Verantwortliche entweder keine personenbezogenen Daten verarbeitet oder personenbezogene Daten anonymisiert hat. Eine Pseudonymisierung der Daten reicht aber nicht aus!

Verständliche Form ist zu wahren

Zu beachten ist, dass die Daten in verständlicher Form zur Verfügung gestellt werden müssen. Die betroffene Person muss die gelieferten Daten in angemessener Zeit mit angemessenem Aufwand verstehen können. Denn Sinn und Zweck des Auskunftsrecht ist, dass der Betroffene einen Überblick bekommt, ob und wie seine personenbezogenen Daten verarbeitet werden, sodass er dann seine weiteren Betroffenenrechte umfassend wahrnehmen kann. Das bedeutet, insbesondere bei umfangreichen Datensätzen oder bei Verwendung von nicht allgemeinverständlichen Begriffen, muss vom Verantwortlichen allenfalls eine Erläuterung zu den Daten mitgeliefert werden.

Auskunftsersuchen erfüllt, aber Rechte Dritter beeinträchtigt

Eine Auskunft kann aber auch zu weit gehen.

Eine Auskunft darf nicht erteilt werden, wenn die Rechte und Freiheiten einer anderen Person beeinträchtigt wird (Art. 15 Abs. 4 DSGVO). Dies kann der Fall sein, wenn durch eine Auskunft Geschäftsgeheimnisse oder relevante personenbezogene Daten Dritter verraten oder gesetzliche Verschwiegenheitspflichten verletzt würden.

Schwärzungen

Übliches Beispiel sind vorzunehmende Schwärzungen in E-Mails, wenn dort personenbezogene Daten von Dritten auftauchen. Bei der Schwärzung darf aber Aussagegehalt, bzw. der Wesensgehalt der E-Mail nicht verloren gehen. Wenn also auch andere personenbezogene Daten in den Informationen vorkommen, muss immer eine Abwägung getroffen werden, ob die schutzwürdigen Interessen des Dritten oder die Interessen des Anspruchsstellers überwiegen.

Gesetzliche Geheimhaltungs- oder Verschwiegenheitspflichten

Existiert eine gesetzliche Geheimhaltungspflicht oder ein Berufsgeheimnis wie z.B. für Ärzte oder Anwälte, so kann die Auskunft ebenfalls eingeschränkt werden. Beispielsweise unterliegen Ärzte einer umfassenden Dokumentationspflicht und dem Berufsgeheimnis. Dritte dürfen nur nach der ausdrücklich erteilten Einwilligung des betroffenen Patienten Auskunft erhalten, während der Patient selbst jederzeit das Recht auf Auskunft gegenüber dem Arzt hat. Hat man also mit sensiblen Daten zu tun, ist peinlich darauf zu achten, keine Daten Dritter herauszugeben.

Die Frist wird nicht eingehalten

Der Anspruch muss unverzüglich, spätestens aber nach einem Monat erfüllt werden. Daher sollten Fristen und auch Erinnerungen notiert werden.

Dokumentations- und Mitteilungspflichten

Vergessen wird auch oft, dass der Verantwortliche dazu verpflichtet ist, die entsprechenden Gründe einer etwaigen Verweigerung bzw. Beschränkung zu dokumentieren und gegenüber der betroffenen Person mitzuteilen (Art. 12 Abs. 4 DSGVO). Daneben muss der Ersuchende über die Möglichkeit unterrichtet werden, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen.

Die Auskunft innerhalb anderer Streitigkeiten

Oft kommt es vor, dass innerhalb einer anderen Streitigkeit Auskunftsansprüche geltend gemacht werden. Zum Beispiel im Rahmen eines arbeitsrechtlichen Prozesses. Hier ist genau darauf zu achten, in welchem Stadium des Prozesses der Auskunftsanspruch geltend gemacht wird. Auch wenn er in der Hauptsache nicht mehr weiterverfolgt wird, kann es sein, dass er dennoch zu erfüllen ist. Erfüllt man ihn nicht, weil man fälschlicherweise davon ausgegangen ist, dass er nicht weiterverfolgt wird, oder vergisst man es einfach im Eifer des (Haupt-) Gefechts, so kann man sich weiteren, unangenehmen Rechtsfolgen ausgesetzt sehen.

Wie sollen die Daten übermittelt werden?

Die Auskunft ist fertiggestellt und kann versendet werden. Da stellt sich die Frage, wie der Versand der Informationen zu erfolgen hat.

• Die betroffene Person entscheidet
  Die Anforderungen an die Form der Auskunftserteilung ergeben sich aus Art. 12 DSGVO. Danach kann die betroffene Person grundsätzlich entscheiden, wie ihr Auskunftsersuchen zu beantworten ist. Insbesondere darf sie eine Auskunft in elektronischer Form verlangen, wenn sie ihren Auskunftsantrag ebenfalls elektronisch stellt. In diesem Fall hat der Verantwortliche ein gängiges Format zu wählen, das die betroffene Person mit allgemein verfügbarer (nicht notwendigerweise kostenloser) Software verarbeiten kann.
• Gängig: E-Mail
  Oftmals werden die Daten per E-Mail bereitgestellt.
  Aber Vorsicht: Es sollte dem Betroffenen angeboten werden, die E-Mail verschlüsselt zu übermitteln. Sonst kann es einem ergehen, wie einem Verantwortlichen vor dem Arbeitsgericht Suhl. Dieses und der TLfDI stellten ein Verstoß gegen Art. 5 Abs. 1 lit. f DSGVO fest, weil der Verantwortliche eine vollständige Kopie einer Personalakte als PDF mittels unverschlüsselter E-Mail an den Betroffenen versandt hatte. Dieser Verstoß kann grundsätzlich eine Schadensersatzforderung nach sich ziehen – sofern ein Schaden dargelegt wird.
• Fernzugang zu einem sicheren System
  In Erwägungsgrund 63 wird als ein zulässiges Verfahren die Bereitstellung eines Fernzugangs zu einem sicheren System genannt, von dem die betroffene Person die Daten abrufen kann.
• Der Postweg
  Auch eine Übersendung der Daten per Post auf einem physischen Datenträger ist zulässig. Dabei müssen aber die Anforderungen an die Datensicherheit aus Art. 32 DSGVO eingehalten werden. Das bedeutet, dass der physische Datenträger passwortgeschützt sein sollte. Das Passwort sollte telefonisch oder mittels gesonderter Post mitgeteilt werden.
  
• Mündlich
  Ferner kann die betroffene Person gem. Art. 12 Abs. 1 S. 3 DSGVO auch eine mündliche Auskunft verlangen. Sowohl die Anfrage als auch die Auskunft sollte unbedingt vermerkt und dokumentiert werden.

Löschung und Auskunft

Keine Auskunft muss über in der Vergangenheit verarbeitete personenbezogene Daten erteilt werden, welche längst gelöscht sind. Der Umfang der Auskunft ist demnach abhängig vom Zeitpunkt des Auskunftsbegehrens.

Betroffenenrechte werden nicht mitgeteilt

Auch im Rahmen des Auskunftsanspruchs hat der Antragsteller weitreichende und umfassende Betroffenenrechte. Darüber muss er vom Verantwortlichen aufgeklärt werden.

• Berichtigung der Daten,
• Löschung oder Einschränkung der Verarbeitung,
• Widerspruch gegen die Verarbeitung,
• Widerruf der Einwilligung,
• Datenübertragbarkeit
• Beschwerderecht bei der zuständigen Aufsichtsbehörde

Was können die Rechtsfolgen sein?

Mal vom Ergebnis gedacht: Was passiert denn eigentlich, wenn die Auskunft nicht oder nicht richtig erteilt wird? Was ist, wenn Fehler passieren?

Prozessual ist das Recht auf eine Datenkopie gegenüber einem privaten Verantwortlichen durch zivilgerichtliche Leistungsklage geltend zu machen.

Erfüllt der Verantwortliche einen Antrag auf Übersendung einer Datenkopie ganz oder teilweise nicht, nicht ordnungsgemäß oder nicht rechtzeitig, so liegt hierin eine Pflichtverletzung, die gemäß Art. 83 Abs. 5 lit. b DSGVO eine Geldbuße zur Folge haben kann. Denkbar ist daneben, dass der betroffenen Person wegen der Verletzung ein Anspruch auf Schadensersatz aus Art. 82 DSGVO zusteht.