Das Auskunftsrecht bildet im Sinne des Grundprinzips der Transparenzanforderungen der DSGVO eines der wichtigsten Betroffenenrechte des Datenschutzrechts.Das Auskunftsrecht haben Betroffene gegenüber Verantwortlichen – Grundlage ist Art. 15 DSGVO.
Durch Art. 15 Abs. 1 DSGVO können betroffene Personen von der verantwortlichen Stelle eine Auskunft darüber verlangen, ob und zu welchem Zweck diese ihre Person personenbezogenen Daten verarbeitet.
Werden Daten verarbeitet (z.B. erhoben, weitergeleitet, gespeichert, gelöscht, usw.), hat die Person mit dem Hintergrund des Prinzips der Transparenz immer ein Recht auf Auskunft. Und zwar, um welche Daten es sich handelt, und auch wie diese verarbeitet werden.
Es handelt sich beim Auskunftsrecht um eine zweiteilige Forderung, bzw. einen zweistufigen Prozess.
Wichtig! Auch wenn Sie keine Daten einer auskunftsersuchenden Person verarbeiten, müssen Sie ihr die Auskunftsanfrage beantworten. In so einem Fall geben Sie eine sogenannte Negativauskunft.
Auskunftsrecht in Anspruch nehmen
Jeder, wirklich jeder, darf eine datenschutzrechtliche Auskunftsanfrage an einen Verantwortlichen stellen. Außer bei Exzessen gibt es keine Beschränkung der Häufigkeit.
Eine Auskunftsanfrage müssen Betroffene immer für sich selbst stellen.
Die entsprechende Auskunft darf der Verantwortliche auch nur der betroffenen Person selbst erteilen. Eine Vertretung ist nicht vorgesehen und möglich.
Als verantwortliche Stelle müssen Sie besonders darauf achten, dass Sie Daten nur den betreffenden Personen mitteilen – arbeiten Sie nach einem Schema und stellen Sie das in einem Prozess sicher!
Bei einer Auskunftserteilung an Unberechtigte handelt es sich um eine Datenpanne. Je nachdem um welche Daten es sich dabei handelt kann das Risiko sogar so hoch sein, dass Sie diese der zuständigen Aufsichtsbehörde für Datenschutz melden müssen.
Auskunftsrecht einfordern
Das Auskunftsrecht steht jeder Person grundsätzlich uneingeschränkt zu. Jeder Betroffene kann nach Art. 12 Abs. 1 DSGVO schriftlich, elektronisch oder auch mündlich eine Auskunftsanfrage bei einer verantwortlichen Stelle stellen.
Inhalt einer Auskunft an Betroffene
Mit einer Auskunft sollen Betroffene im Rahmen ihres Auskunftsrechts Details der Verarbeitung ihrer personenbezogenen Daten erhalten – folgende Informationen müssen enthalten sein:
- zu welchem Zweck die Verarbeitung der Daten erfolgt
- welche Kategorien von personenbezogenen Daten verarbeitet werden
- die Empfänger der Daten
- die beabsichtigte Speicherdauer
- ggf. Details einer automatisierten Entscheidung (Profiling)
- Datenherkunft (z.B. Direkterhebung, durch Dritte usw.),
- Aufklärung über die Rechte: u.a. Recht auf Berichtigung, Einschränkung, Löschung, Widerspruchsrecht
- ggf. Details zur Datenübertragung in Drittländer nach Art. 15 Abs. 2 DSGVO und welche geeigneten Garantien in diesem Zusammenhang vorliegen
Risiken, Fristen und Kosten
Beantworten Sie Auskunftsanfragen immer unverzüglich, bzw. so schnell wie möglich. Spätestens jedoch innerhalb eines Monats nach Zugang. Eine Verlängerung der Frist ist nur in Ausnahmefällen möglich. Informieren Sie in einem solchen Fall den Betroffenen darüber.
Bei einer Fristverletzung haben Betroffene möglicherweise einen Anspruch auf Schadensersatz (hierzu gab es in den letzten Monaten diverse Urteile mit vierstelligen Zusprüchen).
Die Auskunft ist samt der bereitgestellten Inhalte kostenlos für die betroffene Person. Bei unbegründeten und exzessiven Anfragen kann die verantwortliche Stelle ein angemessenes Entgelt verlangen. Den Nachweis über eine unbegründete Anfrage muss in so einem Fall die verantwortliche Stelle selbst erbringen.
Bei einer Auskunftsverweigerung sollten Sie die Auskunftssuchenden darüber direkt informieren.
Falsche oder versäumte Auskünfte können Beschwerden bei, und umfassende Kontrollen durch Aufsichtsbehörden nach sich ziehen. Da das Auskunftsrecht besonders wichtig ist, gehen Aufsichtsbehörden diesbezüglichen Beschweren von Betroffenen sehr akribisch nach – Folgen könnten Sanktionen wie Bußgelder sein.
Betroffene beschweren sich regelmäßig bei Aufsichtsbehörden wenn sie ihr Auskunftsrecht nicht richtig wahrnehmen können. Wie man aus den jährlichen Tätigkeitsberichten entnehmen kann steigt die Anzahl von Beschwerden. Aufsichtsbehörden müssen Beschwerden nachgehen. Sie reagieren sehr empfindlich auf Fristversäumnisse und Mängel in den Auskünften. Manchmal werden in der Folge dann auch weitere Verarbeitungen und Prozesse unter die Lupe genommen.
Fazit Auskunftsrecht Betroffener
- Bearbeiten Sie Auskunftsersuchen ordnungsgemäß und streng nach den Vorgaben.
- Treffen Sie vor allem organisatorische Vorkehrungen zur fristgerechten Beantwortung in geeigneter Form.
- Alle Mitarbeiter müssen eine Auskunftsanfrage nach Art. 15 DSGVO erkennen und sollten diese zur Bearbeitung an die Zuständigen Stellen weiterleiten.
- Schulen Sie Ihre Mitarbeiter.
- Bearbeiten und dokumentieren Sie Anfragen – die Beweislast liegt bei Ihnen.
- Legen Sie fest, an wen Anfragen intern zur Bearbeitung weitergeleitet werden müssen.
- Definieren Sie Zuständigkeiten, und erstellen Sie dazu eine Anweisung (z.B. in Richtlinien).
- Planen Sie ein geeignetes Identifikationsverfahren mit dem Sie sicherstellen, dass Auskünfte über ihre personenbezogene Daten nur den jeweilig betroffenen (richtigen) Personen erteilt werden.
- Halten Sie die relevanten Daten bereit, bzw. stellen Sie den Zugriff sicher und überlegen Sie ein geeignetes Vorgehen für die Übergabe.
Für häufig vorkommende, ähnliche Anfragen etablieren Sie ein Standardvorgehen und nutzen folgende Vorlagen:
- allgemeine Auskunftsanfrage im Rahmen des Auskunftsrechts,
- Negativauskunft (ohne Daten) und
- keine Auskunft da Identifizierung nicht möglich.
Es ist nicht notwendig, dass Ihr Datenschutzbeauftragter Anfragen bearbeitet. Vor allem Standardanfragen können anhand von Vorlagen schnell direkt beantwortet werden.
Manuelle Arbeit können Sie vermeiden indem Sie Software entsprechenden „Exportfunktionen“ für personenbezogene Daten verwenden.
Ein Überblick mit Betroffenenkategorien, also diejenigen, die Anfragen, hilft Ihnen dabei an allen Stellen im Unternehmen die notwendigen Daten zusammenzutragen.
Nehmen Sie Auskunftsanfragen ernst und bearbeiten Sie diese pragmatisch. Es ist das gute Recht er Betroffenen. Wenn Sie umfassend reagieren, lassen die Auskunftssteller es meist damit gut sein.
Was wir für Sie tun
Wenn Sie passend zum Auskunftsrecht den Auskunftsprozess bereits geregelt haben, nehmen wir die Dokumentation für Sie vor und passen diese ggf. an.
Sollten Sie zur Bearbeitung des Auskunftsrechts noch keine Regelungen vorgegeben haben, helfen wir Ihnen bei der Umsetzung der o.g. Punkte mit passenden Mustern.
Generell hilfreich ist ein aktuelles und vollständiges Verzeichnis von Verarbeitungstätigkeiten.
