07108 Auskunftsanspruch in der Praxis – Rechtsprechung, Haftungs- und Datenzugangsrechte

Der Eingang eines Auskunftsersuchens nach Art. 15 DSGVO ist für Unternehmen (Anmerkung: Die Begriffe Unternehmen, Organisation und Verantwortliche sind synonym zu verstehen) regelmäßig unangenehm, so die Erfahrung des Verfassers. So kommt der Antrag selten zur passenden Zeit. Er löst eine Monatsfrist und damit Zeitdruck aus. Ferner betrifft er häufig auch Datenbestände, die nicht zentral verwaltet werden.

Antragsumfang erkennen
So fragt bspw. ein ehemaliger Mitarbeiter, oder ein Mitarbeiter, dem gerade gekündigt wurde, nicht nur nach seinen Stammdaten. Ein Kunde beschränkt sich auch nicht immer auf sein Kundenkonto. Ein Bewerber, Patient oder Versicherungsnehmer kann mit seinem Antrag durchaus auch Vorgänge berühren, die in Fachabteilungen, Archiven, E-Mail-Postfächern, Vorgangssystemen, Protokolldaten oder bei Dienstleistern liegen.

Umsetzung sicherstellen
Die eigentliche Schwierigkeit eines Auskunftsanspruchs liegt deshalb meist nicht in der juristischen Ausgangsfrage. Schwieriger ist vielmehr die praktische Umsetzung bzw. die rechtskonforme Erfüllung dieses Anspruchs. Das Unternehmen muss daher erkennen, dass ein entsprechender Antrag vorliegt, muss die Identität und Berechtigung des Auskunftsersuchenden prüfen, die Frist sichern, die einschlägigen Systeme bestimmen, Fachbereiche einbinden, Empfänger ermitteln, die Datenkopie prüfen, Rechte Dritter schützen und eine sichere Übermittlung wählen.

Verfahren prüfen
Die gemeinsame Überprüfung der deutschen Aufsichtsbehörden hinsichtlich der Umsetzung dieser gesetzlichen Anforderung in der Praxis bestätigt die Erfahrungen des Verfassers [1]. So stellten die Behörden fest, dass Auskunftsersuchen nicht immer zentral erfasst werden, sehr häufig interne Verfahren fehlen oder den zuständigen Mitarbeitern nicht bekannt sind. Teils werden unnötig strenge Form- oder Identifizierungsanforderungen durch den Verantwortlichen gestellt. Auch die relevanten Datenquellen sind nicht vorab definiert. Allzu oft werden auch technische Daten wie Protokolldaten, Gerätekennungen, Cookies oder Metadaten, die einen entsprechenden Personenbezug haben übersehen, was wiederum zur Folge hat, dass die gegebenen Auskünfte oftmals nicht den vom Gesetz vorgesehenen Umfang erfüllen.

Rechtsprechung beachten
Die Rechtsprechung hat den Auskunftsanspruch in den letzten Jahren deutlich konkretisiert. So hat etwa der EuGH klargestellt, dass konkrete Empfänger zu benennen sind, wenn diese dem Verantwortlichen bekannt sind oder ermittelt werden können. Eine reine Beauskunftung von Empfängerkategorien ist dabei nicht ausreichend [2]. Er hat ferner das Recht des Betroffenen auf Erhalt einer Datenkopie gestärkt und betont, dass die Motivation des Betroffenen für einen Auskunftsanspruch grundsätzlich nicht entscheidend ist [3].

Missbrauch bewerten
Aber auch wenn der EuGH die Betroffenenrechte beim Auskunftsanspruch gestärkt hat, hat er auf der anderen Seite auch den Verantwortlichen gewisse Möglichkeiten eröffnet, wie sie einen Auskunftsantrag ablehnen können. Insbesondere wenn dieser exzessiv bzw. missbräuchlich ist. So hat der EuGH mit der Entscheidung „Brillen Rottler” einem Verantwortlichen bspw. zugestanden, dass auch bereits ein erster Auskunftsantrag exzessiv sein kann, wenn der Verantwortliche eine missbräuchliche Absicht des Anfragenden nachweisen kann [4].

Einzelfall dokumentieren
Die Entscheidungen des EuGH haben direkte Auswirkungen auf die Praxis, weshalb Unternehmen die vom EuGH aufgestellten Grundsätze bei jeder Anfrage eines Betroffenen im Hinterkopf behalten sollten. Insbesondere sollten sie es tunlichst vermeiden, den Auskunftsanspruch nicht allein deshalb abzulehnen, weil er lästig, weit gefasst oder taktisch motiviert zu sein scheint. Vielmehr müssen sie jeden Auskunftsanspruch im Einzelfall gesondert prüfen und dokumentieren.

Grenzen ziehen
Durch die Rechtsprechung des EuGH ist es ihnen jedoch durchaus gestattet, auch Grenzen zu ziehen, insbesondere wenn der Antrag offenkundig unbegründet, exzessiv oder rechtsmissbräuchlich ist. Auch können sie ihn ablehnen, wenn Rechte Dritter betroffen sind oder wenn Berufsgeheimnisse, Geschäftsgeheimnisse oder gesetzliche Geheimhaltungspflichten entgegenstehen.

Zweistufiger Aufbau
Der für den Auskunftsanspruch relevante Art. 15 DSGVO ist zweistufig aufgebaut bzw. beinhaltet zwei Tatbestände, die auch getrennt voneinander zu behandeln sind.

Auskunftsumfang festlegen
Zunächst einmal kann die betroffene Person eine Bestätigung verlangen, ob vom Verantwortlichen etwaige, sie betreffende personenbezogene Daten verarbeitet werden. Werden solche Daten verarbeitet, schuldet der Verantwortliche Auskunft über diese Daten und über die in Art. 15 Abs. 1 lit. a bis h DSGVO genannten Informationen. Dazu gehören insbesondere die Kategorien der Betroffenendaten und die Zwecke, zu denen die Daten verarbeitet werden. Darüber hinaus ist auch eine Auflistung der Empfänger der Betroffenendaten beizubringen und die (regelmäßige) Speicherdauer, die Herkunft der Daten, die Betroffenenrechte, insbesondere das Beschwerderecht und die Informationen zu automatisierten Entscheidungen einschließlich Profiling sind darzustellen.

Negativauskunft absichern
Werden von der Organisation keine personenbezogenen Daten des Betroffenen verarbeitet, ist eine Negativauskunft zu erteilen. Dabei gilt es aber sorgfältig vorzugehen. Denn bereits die Anfrage selbst führt eigentlich dazu, dass der Verantwortliche personenbezogene Daten des Antragstellers verarbeitet. Die Negativauskunft bedeutet deshalb nicht, dass im Unternehmen überhaupt keine Daten des Antragstellers vorhanden sind. Sie bedeutet lediglich, dass über die Bearbeitung des Auskunftsersuchens hinaus keine personenbezogenen Daten des Betroffenen in den relevanten Geschäftsprozessen verarbeitet werden. Die Dokumentation des Auskunftsvorgangs bleibt zulässig, soweit sie für Nachweiszwecke, z. B. im Rahmen der Rechenschaftspflicht erforderlich ist.

Art. 15 Abs. 3 DSGVO macht den Auskunftsanspruch aber erst so richtig brisant. Denn diese Regelung ergänzt den vorstehenden Anspruch, durch das Recht des Betroffenen auf Erhalt einer Kopie seiner personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Nach der Rechtsprechung des EuGH handelt es sich auch bei diesem Anspruch um eine Form der Auskunftserteilung. Sie muss daher auch so ausgestaltet sein, dass der Betroffene die Verarbeitung seiner Verarbeitung (dem Transparenzgrundsatz folgend) verstehen und seine (weiteren) Rechte wirksam ausüben kann [5].

Die Datenschutzinformation nach Art. 13 oder Art. 14 DSGVO, die man gemeinhin als „Datenschutzerklärung” kennt, kann auch für die Auskunftserteilung, insbesondere durch die klare Struktur durchaus hilfreich sein.

Einzelfallauskunft sichern
Auch wenn sie strukturell hilfreich sein kann, ersetzt sie aber gerade nicht die Auskunft nach Art. 15 DSGVO. Dieses insbesondere deshalb, weil die Datenschutzinformation abstrakt ist und sich daher in der Regel auf einen großen Empfängerkreis bezieht. Die Auskunft gem. Art. 15 DSGVO hingegen, muss auf die konkrete Person – den Betroffenen – bezogen sein. Ein bloßer Verweis auf die Datenschutzerklärung genügt daher regelmäßig nicht, um die Anforderungen aus Art. 15 DSGVO zu erfüllen.

Nebeneffekt: Überprüfung bestehender Dokumentation
Bei der Art und Weise der Erfüllung des Auskunftsanspruchs gilt der Grundsatz, dass der Verantwortliche die verarbeiteten Daten und die Umstände der Verarbeitung so darstellen muss, dass der Betroffene die Rechtmäßigkeit der Verarbeitung selbst prüfen kann. Die Vorbereitung auf die Erfüllung zur Auskunftspflicht zwingt damit zugleich den Verantwortlichen zur Kontrolle der eigenen Dokumentation. Denn eine entsprechende Auskunft kann der Verantwortliche grundsätzlich nur bei einer ausreichenden Transparenz über die Datenverarbeitung geben. Bei der Überprüfung der Dokumentation fällt in der Praxis nicht selten auf, dass bspw. etwaige Verarbeitungszwecke und die der Verarbeitung zugrundeliegenden Prozesse noch genauer beschrieben werden müssen, dass die Empfängerliste nicht mehr aktuell ist oder dass Löschfristen neu bzw. näher zu begründen sind.