Auskunftsrecht (Symbolbild)
Login

Auskunftsrecht gem. Art. 15 DSGVO: Grenzen und Missbrauch?

Gemäß Artikel 15 der Datenschutz-Grundverordnung (DSGVO) haben Betroffene das Recht, vom datenschutzrechtlich Verantwortlichen Auskunft über die Verarbeitung von sie betreffenden personenbezogenen Daten und eine Kopie der Daten zu verlangen. Wie weit reichen diese Rechte? Wie wirken sie auf verschiedenste Rechtsverhältnisse ein? Wurde mit dem Auskunftsrecht ein Instrument geschaffen, das zum Rechtsmissbrauch einlädt? Wir bedanken uns herzlich bei Dr. Carlo Piltz, Rechtsanwalt und Chefredakteur der Zeitschrift „Datenschutz-Berater (DSB)“, der uns zum datenschutzrechtlichen Auskunftsrecht und seiner Anwendung Rede und Antwort stand.

Auskunftsrecht: Das relevanteste Betroffenenrecht

Lieber Herr Dr. Piltz, das Auskunftsrecht gemäß Art. 15 DSGVO soll Betroffenen ermöglichen, ihre Rechte in Bezug auf die Verarbeitung personenbezogener Daten ausüben zu können. Das Auskunftsrecht ist keine Neuheit der DSGVO, aber trotzdem: Erfüllt die Norm heute ihren Zweck?

Die Antwort auf diese Frage ist derzeit heftig umstritten: was ist der Zweck des Auskunftsrechts? Geht es „allein“ um die Kenntnis zu verarbeiteten personenbezogenen Daten und die Möglichkeit, die Rechtmäßigkeit der Verwendung prüfen zu können, oder gibt das Recht noch weiter allgemein einen Anspruch auf Herausgabe alle Dokumente und Unterlagen, in denen Daten enthalten sind. Also ein eins-zu-eins Abbild?

Ich persönlich halte das Auskunftsrecht, gerade auch aus praktischer Sicht, als das relevanteste Betroffenenrecht. Es dient den Betroffenen dazu, Kenntnis darüber zu erhalten, wie Unternehmen oder öffentliche Stellen mit den eigenen Daten umgehen. An eine Auskunft anschließend kann ich als Betroffener dann weitere Rechte, wie Berichtigung oder Löschung geltend machen.

Ob die Norm also ihren Zweck erfüllt, wird man derzeit je nach Sichtweise auf die derzeitige Auslegung und Anwendung beantworten müssen. Mir persönlich wird das Recht aus Art. 15 DSGVO zu oft ganz offensichtlich missbraucht, um andere Ziele durchsetzen – wahrlich aber nicht aus Interesse an den eigenen Daten.

Der Betroffene könnte auch eine – freilich nicht so individuelle – Datenschutzerklärung des Verantwortlichen konsultieren. Warum ist das Auskunftsersuchen als Ergänzung wichtig?

Wie Sie schon richtig anmerken, ist die Erfüllung des Auskunftsanspruchs inhaltlich individueller gestaltet. Der datenschutzrechtlich Verantwortliche muss dem anfragenden Betroffenen konkret Auskunft zu seinen personenbezogenen Daten geben. Ein relevanter Unterschied: Art. 13 DSGVO (die Vorgabe für Datenschutzerklärungen) verpflichtet Unternehmen gerade nicht dazu, konkrete Daten oder auch nur Datenkategorien zu nennen. Das ist bei Art. 15 DSGVO anders.

juris PartnerModul Datenschutz jetzt 4 Wochen gratis testen Gratis testen

Grenzen: Fast alles ist umstritten beim Auskunftsrecht

Wo liegen die Grenzen des Auskunftsanspruchs? Welchen Aufwand müssen Verantwortliche betreiben, den Betroffenen die Daten zusammenzustellen?

Auch die Antwort auf diese Frage ist, wie derzeit eigentlich fast alles rund um Art. 15 DSGVO, umstritten. Nach Art. 15 Abs. 1 DSGVO dürfte eine offensichtliche Grenze darin bestehen, dass nur Daten des Betroffenen zu beauskunften sind. Zudem muss ein Unternehmen „nur“ Auskunft über die konkret verarbeiteten Daten und die vorgegebenen Informationen nach Art. 15 Abs. 1 DSGVO erteilen. „Nur“ kann in der Praxis aber sehr komplex und herausfordernd sein. Ein Unternehmen muss dafür wissen, in welchen Systemen personenbezogene Daten über den Anfragenden liegen.

Zudem ist anerkannt, dass auch Rechte anderer Personen (hierzu gehört wohl auch das Unternehmen selbst) die Auskunft beschränken können. Beispiele hierfür sind Urheberrechte oder auch der Schutz der Daten anderer Personen. Es ist aber durchaus umstritten, wie weit konkret diese Ausnahme reicht und wie umfassend ein Unternehmen vortragen muss, um sich auf diese Ausnahme berufen zu können. Daneben hat der deutsche Gesetzgeber noch ein paar praxisrelevante Ausnahmen in § 34 Abs. 1 Nr. 2 BDSG vorgesehen, nämlich dann, wenn Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen (jeweils unter der Bedingung, dass die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde).

Im Zweifel gilt aber: Betroffenenrechte dürfen nur in engen Grenzen eingeschränkt werden. Allein der Aufwand (monetär als auch zeitlich) ist für Unternehmen kein gewinnbringendes Argument, eine Auskunft nicht zu erteilen.

Ein definierter Prozess

Wie läuft die Ausübung des Auskunftsrechts bis zur Auskunftserteilung ideal ab – und was können Verantwortliche und ihre Berater tun, um den Prozess zu optimieren?

Wichtig ist zunächst, die gesetzlichen Fristen im Auge zu behalten. Einen Monat hat ein Unternehmen Zeit, um zu antworten. Dies kann auch eine Benachrichtigung über eine Verlängerung sein, die aber maximal weitere zwei Monate betragen darf.

Idealerweise werden in den Unternehmen alle Mitarbeiter für solche Anfragen geschult, so dass entsprechende Auskunftsanträge schnell an die intern zuständige Abteilung gelangen. Das ist ein ganz wichtiger Faktor. Zudem muss es einen definierten Prozess geben, in dem klar geregelt ist, welche Fachbereiche sich um Informationszulieferung kümmern. Also etwa IT, HR, Finance etc. Es ist zu empfehlen, dass dort Ansprechpartner für den Datenschutz fest installiert sind (z.B. sog. Datenschutzkoordinatoren).

Standardanfragen und das Tagesgeschäft sollten nach einer gewissen Zeit dann prozessual gut bearbeitbar sein. Es gibt meiner Erfahrung nach dann immer noch die „kniffligen“ Fälle, in denen erweiterte juristische Expertise durchaus Sinn ergibt. Generell ist aber meine Empfehlung, die Modellierung des Auskunftsprozesses und auch die spätere Umsetzung juristisch begleiten zu lassen. So können falsche Weichenstellungen von Anfang an vermieden werden, die im Nachhinein nur noch schwer änderbar sind.

Nicht ordentlich bearbeitete Auskunftsanfragen führen oft zu Beschwerden

Welche Fehler werden von Betroffenen und Verantwortlichen häufig in Bezug auf das Auskunftsrecht gem. Art. 15 DSGVO gemacht?

Verantwortliche nehmen die Anfragen oft einfach nicht wirklich ernst. Das kann sich rächen. Zum einen weil Verstöße gegen das Gesetz in diesem Bereich extern sehr gut nachvollziehbar sind. Beispiel: Wird die zwingende Frist von einem Monat gerissen, liegt ein DSGVO-Verstoß vor. Zudem führen nicht ordentlich bearbeitete Auskunftsanfragen ganz oft zu Beschwerden bei den Datenschutzbehörden, die sich dann mit Auskunftsschreiben an das Unternehmen wenden. Und diese Schreiben können auch andere und umfassendere Fragen enthalten, als allein auf den konkreten Beschwerdegegenstand bezogen. Diese Fehler lassen sich vermeiden.

Betroffene hingegen verstehen diesen Anspruch meines Erachtens oft einfach zu weitgehend und falsch. Zum Teil setzen Betroffene auch sehr kurze Antwortfristen von z.B. einer Woche, was natürlich gesetzlich so nicht vorgesehen ist.

Die Datenschutzbehörden veröffentlichen Orientierungshilfen zum Auskunftsrecht, zudem konkretisieren die Gerichte laufend die Anforderungen. Zuletzt hat der BGH – BGH, Urteil vom 15. Juni 2021 – VI ZR 576/19 – zur Reichweite des Auskunftsanspruchs Stellung genommen. Welche wichtigen Flanken haben Behörden und Gerichte gesetzt, wo sehen Sie noch Klärungsbedarf?

Mittlerweile dürfte geklärt sein, dass es bei dem Auskunftsrecht nicht nur um die Angabe von Datenkategorien und auch nicht nur um die Auskunft zu einigen „Stammdaten“ geht. Gericht und Behörde vertreten diesbezüglich eine weite Auslegung des Anwendungsbereichs und des Begriffs „personenbezogene Daten“. Daneben ist aber so gut wie jedes Thema im Rahmen des Art. 15 DSGVO mindestens in der Diskussion, wenn nicht gar umstritten, inklusive unterschiedlicher Urteile.

Spannend wird in Zukunft vor allem die Auslegung des Begriffs „Kopie“ der personenbezogenen Daten nach Art. 15 DSGVO sein. Ob hiervon also etwa eine Kopie ganzer Unterlagen und Dokumente gemeint ist oder nur eine Kopie der in diesen Unterlagen enthaltenen personenbezogenen Daten.

Die gespeicherten Daten enthalten eventuell auch personenbezogene Daten weiterer Personen – oder es lassen sich eindeutig Rückschlüsse auf das Handeln bestimmbarer Personen machen. Was müssen Verantwortliche tun, um personenbezogene Daten Dritter bei der Auskunftserteilung wirksam zu schützen?

Für solche Daten kann die Ausnahme nach Art. 15 Abs. 4 DSGVO ins Feld geführt werden. Danach darf das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Zwar ist auch hier in Diskussion, ob diese Ausnahme überhaupt auch für den normalen Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO gilt. Geht man hiervon aus, so würde der Schutz der personenbezogenen Daten Dritter (etwa anderer Mitarbeiter) hiervon auch umfasst sein. Hier könnte man also z.B. überlegen, solche Angaben zu schwärzen.

Besteht die Gefahr eines Missbrauchs des Auskunftsrechts? Ja!

Gerade im angesprochen arbeitsgerichtlichen Verfahren wird beobachtet, dass das datenschutzrechtliche Auskunftsrecht „flankierend“ eingesetzt wird. Besteht hier die Gefahr eines rechtsmissbräuchlichen Gebrauchs von Artikel 15 DSGVO? Entsprechend, in welchen Zusammenhängen kommt das Auskunftsrecht außerdem „zum Einsatz“?

Aus meiner Sicht ganz klar „ja“. Wobei dies auch nur meine Meinung ist und es andere Ansichten gibt, die darauf abstellen, dass das Recht auf Auskunft keine besondere Zweckanforderung postuliert. In der Praxis ist aber auch in von uns betreuten Mandaten auffallend, dass entweder der Auskunftsanspruch flankierend geltend gemacht wird, obwohl er mit der in Streit stehenden Materie nichts zu tun hat. Oder der Anspruch wird irgendwann (ggfs. auch erst im Prozess) nachgeschoben, wenn es an anderer Stelle etwas „hakelt“. Ich persönlich bin der Überzeugung, dass das Recht auf Auskunft aus dem Datenschutz nicht dazu dienen sollte, für Betroffene eine über das Datenschutzrecht hinausgehende positive Rechtsposition zu schaffen bzw. Ansprüche oder Rechtspositionen aus anderen Rechtsgebieten zu untermauern. Man muss aber auch deutlich konstatieren, dass der hier angesprochene Missbrauchseinwand heftig diskutiert wird und in Art. 15 DSGVO selbst kaum eine Grundlage findet. Ein Ansatz wäre es, den Antrag als offenkundig unbegründet i.S.d. Art. 12 Abs. 5 DSGVO zu bewerten. Ob dies jedoch möglich ist und wenn ja, in welchem Umfang, muss sicherlich einmal der EuGH als oberstes europäisches Gericht entscheiden.

Lesen Sie zum Thema "Datenschutz" auch:

Lesen Sie weitere interessante Beiträge im juris Magazin:


juris unterstützt Sie in allen Rechts- und Themengebieten.

Finden Sie aus unserer Auswahl das für Sie passende Modul oder Produkt:


			juris PartnerModul Datenschutz
juris PartnerModul Datenschutz
Umfassende Fachliteratur zur DSGVO und zum neuen BDSG - in EINEM Modul, sukzessive aktualisiert.
Weitere Produktinformationen

			juris PartnerModul Arbeitsrecht premium
juris PartnerModul Arbeitsrecht premium
Von der krankheitsbedingten Entlassung über Kranken-/Mutterschaftsgeld bis zur betrieblichen Altersversorgung und Schwerbehindertenrecht.
Weitere Produktinformationen

			juris PartnerModul Compliance premium
juris PartnerModul Compliance premium
Erfahren Sie u.a. welche Maßnahmen bei der Prävention und Vermeidung von Haftung und Strafbarkeit zu ergreifen sind.
Weitere Produktinformationen
Produktberatung
PRODUKTBERATUNG
PRODUKTBERATUNG
Sie benötigen Unterstützung, um die passende Lösung zu finden?

Unsere erfahrenen und kompetenten Berater helfen Ihnen gerne weiter.
Sie erreichen unsere Spezialisten Mo – Do von 09 – 18 Uhr und freitags von 09 – 17 Uhr unter der kostenfreien Rufnummer 0800 - 587 47 33 oder per E-Mail: kontakt@juris.de

Alle Produkte im Überblick

nach oben