Auskunftsrecht
Home » DSGVO » Rechte der betroffenen Person » Auskunftsrecht

Gemäß Artikel 15 DSGVO und im Einklang mit Artikel 8 Absatz 2 der Charta der Grundrechte der Europäischen Union hat jede betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

  • die Verarbeitungszwecke;
  • die Kategorien personenbezogener Daten;
  • die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden;
  • die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  • alle Rechte der betroffenen Person, einschließlich des Rechts, eine Beschwerde bei einer Aufsichtsbehörde einzureichen;
  • die Herkunft der personenbezogenen Daten, wenn sie nicht direkt bei der betroffenen Person erhoben werden;
  • das Bestehen einer automatisierten Entscheidungsfindung, d. h. Entscheidungen, die auf der Grundlage personenbezogener Daten getroffen werden, die ausschließlich automatisch und ohne menschliches Zutun verarbeitet werden.
  • das Vorhandensein aller Garantien, die getroffen wurden, um personenbezogene Daten in Länder außerhalb der EU zu übertragen.

Auf Antrag der betroffenen Personen muss der Verantwortliche ihnen unentgeltlich eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung stellen. Für zusätzliche Kopien, die von den betroffenen Personen angefordert werden, kann der Verantwortliche gemäß Artikel 15 Absatz 3 DSGVO ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. In diesem Fall sollte sich der Verantwortliche umgehend mit den betroffenen Personen in Verbindung setzen, um sie auf die Kosten hinzuweisen.

Die betroffenen Personen haben nur Anspruch auf sie betreffende personenbezogene Daten, es sei denn, diese Informationen sind mit denen anderer Personen verflochten. Wenn die personenbezogenen Daten Informationen über andere Personen enthalten, hängt die folgende Offenlegung von der Abwägung zwischen dem Recht der betroffenen Personen auf Auskunft und den Grundrechten des Dritten gemäß Artikel 15 Absatz 4 DSGVO ab. Bei der Durchführung von Nachforschungen sollten beispielsweise etwaige Pflichten zur Wahrung des Berufsgeheimnisses, die Art der personenbezogenen Daten usw. in Betracht gezogen werden. In diesem Szenario könnte der Verantwortliche Daten nicht bereitstellen, die sich nachteilig auf andere auswirken könnten, z. B. durch Schwärzung ausgewählter Informationen[1].

Die Datenschutz-Grundverordnung hindert eine Person nicht daran, möglicherweise im Namen der betroffenen Personen zu handeln, wenn sie dies beispielsweise durch eine Vollmacht nachweist[2]. Im Zweifelsfall kann der Verantwortliche die betroffenen Personen auffordern, sich auszuweisen. Wie bereits gesagt, sollte ein solches Verfahren jedoch verhältnismäßig sein. Darüber hinaus kann der Verantwortliche die betroffenen Personen auffordern, ihre Anfrage zu spezifizieren, indem sie weitere Angaben machen, die zur Identifizierung der gewünschten Informationen beitragen. Das Ersuchen des Verantwortlichen um weitere Erläuterungen hat jedoch keinen Einfluss auf die einmonatige Frist.

Die Datenschutz-Grundverordnung sieht kein Verfahren zur Ausübung des Auskunftsrechts vor. Dementsprechend könnte der Verantwortliche ein spezielles Formular bereitstellen, das die betroffenen Personen leicht ausfüllen und einreichen können. Die Festlegung eines Verfahrens erlaubt es dem Verantwortlichen jedoch nicht, Anträge, die auf anderem Wege eingereicht wurden, nicht zu akzeptieren.

Ebenso sagt die DSGVO nichts darüber aus, wie der Verantwortliche den betroffenen Personen die Informationen zur Verfügung stellen sollte. Im Allgemeinen sollte die Erteilung von Informationen in einem gängigen elektronischen Format erfolgen (z. B. per E-Mail, der ein PDF-Dokument beigefügt ist), wenn der Antrag elektronisch gestellt wurde und die betroffenen Personen nichts anderes beantragt haben. In Erwägungsgrund 63 der Datenschutz-Grundverordnung wird dem Verantwortlichen jedoch empfohlen, den betroffenen Personen den Fernzugang zu einem sicheren System bereitzustellen, sodass sie direkt auf ihre personenbezogenen Daten zugreifen können, z. B. indem sie über ein VPN auf die Datenbank des Verantwortlichen zugreifen.

Checkliste für die Beantwortung eines Antrags auf Auskunft:

Steht die Ausübung des Auskunftsrechts im Einklang mit der Datenschutz-Grundverordnung?

☐ Haben Sie einen Antrag auf Zugang von einer juristischen Person erhalten? Wenn ja, geben Sie bitte an, dass der Antrag nicht von einer natürlichen Person gestellt wurde und lehnen Sie den Antrag ab.

☐ Hat sich die betroffene Person korrekt identifiziert? Falls nicht, bitten Sie um weitere Informationen zur Bestätigung der Identität.

☐ Kann der Antrag innerhalb eines Monats bearbeitet werden? Falls nicht, geben Sie bitte an, warum und wie lange es dauern wird, den Antrag zu bearbeiten (ohne die in der DSGVO vorgesehenen Fristen zu überschreiten, siehe Abschnitt 6).

☐ Der Antrag muss erfüllt werden.

Wie können Sie alle Pflichten der DSGVO erfüllen?

☐ Geben Sie alle in Artikel 15 Absatz 1–2 DSGVO aufgeführten Informationen an.

☐ Wenn sich die Informationen mit denen anderer Personen überschneiden, führen Sie bitte eine Abwägung durch, ob die Offenlegung an die Person, die den Antrag gestellt hat, die personenbezogenen Daten der anderen Person nicht beeinträchtigt.

☐ Stellen Sie der betroffenen Person eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung. Für zusätzliche Kopien, die von der betroffenen Person angefordert werden, kann der Verantwortliche ein angemessenes Entgelt verlangen.

Bewährte Praktiken:

☐ Stellen Sie ein spezielles Formular bereit, das die betroffene Person leicht ausfüllen und übermitteln kann.

☐ Alle Informationen sind in einem gängigen elektronischen Format bereitzustellen, es sei denn, die betroffene Person wünscht etwas anderes.

 

Quellenangaben

1P. Voigt & A. von demBussche, The EU General Data Protection Regulation (DSGVO). A Practical Guide, Cham: Springer, 2017, S. 153 ↑

2Information Commissioner’s Office, Guide to the General Data Protection Regulation (DSGVO), 2019, S. 108, verfügbarunter: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/ [letzterZugriff: 30.10.2020] ↑

Skip to content