Datenverarbeitung & Datenschutz: Auskunftsersuchen nach DSGVO erklärt
Was besagt der Auskunftsanspruch nach Datenschutz-Grundverordnung?
Das Auskunftsrecht gemäß Artikel 15 der Datenschutz-Grundverordnung (DSGVO) ermöglicht es einer Person, Informationen zur Verarbeitung Ihrer personenbezogenen Daten anzufordern. Dies umfasst nicht nur grundlegende Stammdaten, wie den Namen oder die Adresse, sondern auch Kommunikationsverläufe und interne Notizen, die sie betreffen könnten.
Allerdings gibt es auch Grenzen für das Auskunftsrecht, wie den Schutz der Rechte und Freiheiten anderer Personen sowie gesetzliche Einschränkungen, beispielsweise aus dem Bundesdatenschutzgesetz (BDSG). Es ist wichtig zu beachten, dass diese Einschränkungen im Einklang mit der DSGVO geprüft werden müssen, um das Gleichgewicht zwischen Datenschutz und anderen gesellschaftlichen Interessen zu wahren.
Übersicht zum Erhalt und zur Bearbeitung eines Antrags:
- Nach Eingang eines schriftlichen Antrags sollte der Antragsteller zeitnah über den Eingang informiert werden, sodass er im Klaren darüber ist, dass sein Anliegen bearbeitet wird.
- Bei komplexen Anträgen oder großen Datenmengen kann es ratsam sein, die antragstellende Person zu kontaktieren und sie darum zu bitten, weitere Informationen zu geben oder die Anfrage zu präzisieren.
- Der Auskunftsanspruch unterliegt keiner Formpflicht. Daher müssen auch formlose Anträge fachgerecht und unverzüglich bearbeitet werden.
- Gemäß DSGVO ist der Antrag, trotz angegebener Frist von einem Monat, nach Eingang unverzüglich zu bearbeiten.
Unter bestimmten Umständen können Sie die Frist auf bis zu drei Monate ausweiten. Der Antragsteller sollte in einem solchen Fall umgehend über etwaige Verzögerungen informiert werden. - Sollte die Anfrage nicht oder nicht vollständig bearbeitet werden können, ist der Antragsteller darüber zu informieren und gegebenenfalls auf sein Recht auf Beschwerde bei der Datenschutzbehörde hinzuweisen.
- Die Bereitstellung der angeforderten Informationen muss kostenfrei gewährleistet werden, ausschließlich bei exzessiven oder unbegründeten Anfragen darf eine Gebühr erhoben werden.
- Häufig werden Auskünfte schriftlich oder elektronisch (z. B. per verschlüsselter E-Mail) angefordert: Zur Überprüfung der Identität können Ihre Verantwortlichen zusätzliche Informationen zur Bestätigung verlangen. Beispielsweise die Kopie eines Personaldokuments, wobei es dem betroffenen Antragsteller zusteht, bestimmte Daten zu schwärzen.
- Elektronische Anträge müssen von Ihren Verantwortlichen in einem gängigen Format beantwortet werden, wobei die entsprechenden Datensicherheitsmaßnahmen zu beachten sind.
Auskunftsersuchen nach DSGVO & Frist für Verantwortliche: Ein aktuelles Urteil
Das Arbeitsgericht Duisburg hat sich in einem Urteil vom 03. November 2023 (Az.: 5 Ca 877/23) mit der Fristwahrung bei Auskunftsersuchen auseinandergesetzt. Dabei wurde deutlich, dass einem Verantwortlichen zur Beantwortung von Auskunftserteilungen nicht immer eine Frist von einem Monat (gem. Art. 12 Abs. 3 DSGVO) zusteht.
Im konkreten Fall wurde die Beklagte zur Zahlung von Schadensersatz verurteilt, weil sie ein Auskunftsersuchen nach Art. 15 DSGVO erst nach 19 Tagen beantwortet hatte.
Der Sachverhalt:
Der Kläger hatte sechs Jahre nachdem er sich bei der Beklagten um ein Arbeitsverhältnis beworben hatte, Auskunft nach Art. 15 DSGVO verlangt. Die Beklagte erteilte nach 19 Tagen eine sog. „Negativauskunft“. Darin wurde erklärt, dass keine Daten des Klägers bei ihr gespeichert seien. Der Kläger beanstandete die Auskunftserteilung als verspätet und forderte Schadensersatz wegen durch die Rechtsverletzung erlittenem „emotionalen Ungemach“.
Die Entscheidung des Gerichts:
In seiner Entscheidung kam das Gericht zu dem Ergebnis, dass die Beklagte gegen Art. 12 Abs. 3 DSGVO verstoßen habe. Darin ist geregelt, dass der Verantwortliche der betroffenen Person Informationen über die in den Artikel 15 bis 22 DSGVO ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen hat.
Der Beklagte habe zwar die dort genannte Höchstfrist von einem Monat eingehalten. Diese Frist sei aber nur ausschlaggebend, wenn der Antrag auf Auskunft nicht aufgrund der Anforderung der Unverzüglichkeit vorher bearbeitet werden muss. Unter „unverzüglich“ sei entsprechend § 121 BGB „ohne schuldhaftes Zögern“ zu verstehen. Es müsse durch Abwägung der beiderseitigen Interessen beurteilt werden, ob es besondere Umstände gebe, die einer sofortigen Antwort entgegenstünden (Komplexität, Umfang der Auskunft).
Schon nach einer Woche sei ohne das Vorliegen solcher besonderen Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben. Es sein dem Kläger durch „temporären Kontrollverlust“ bezüglich seiner Daten ein immaterieller Schaden entstanden.
Einordnung:
Da die Beantwortung von Auskunftsansprüchen sehr aufwendig sein kann, hat sich in der Praxis die Meinung verbreitet, dass eine Auskunft innerhalb von einem Monat ausreichend sei. Wie der vorliegende Fall zeigt, kann in weniger komplizierten Fällen (hier Negativauskunft) aber keinesfalls davon ausgegangen werden, dass Verantwortlichen immer ein Monat Zeit zur Verfügung steht. Nach Art. 12 Abs. 3 DSGVO handelt es sich um eine „Höchstfrist“. Diese darf im Ergebnis nur in begründeten Fällen ausgeschöpft werden.
Antwort auf Auskunftsersuchen nach DSGVO: Fazit zur Wahrung der Frist
Bei Auskunftsersuchen nach DSGVO sollte stets schnell gehandelt werden. Mitarbeitende sollten wissen, das ein solcher Antrag mit Priorität bearbeitet werden muss. Es ist somit empfehlenswert, dies auch zum Gegenstand von Datenschutzschulungen zu machen.
Keinesfalls darf von vornherein pauschal von einer Frist von einem Monat ausgegangen werden. Falls es dennoch zu Verzögerungen bei der Bearbeitung kommt, sollten Verantwortliche begründen und darlegen können, weshalb sie die Monatsfrist ausgeschöpft haben.
Nach Art. 12 Abs. 3 Satz 2 DSGVO ist eine Verlängerung um 2 weitere Monate möglich, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Dann ist der Betroffene innerhalb der Monatsfrist über die Verlängerung der Frist und über die Gründe für die Verlängerung zu informieren (Art. 12 Abs. 3 Satz 3 DSGVO).
Bei Negativauskünften, also wenn bis zum Zeitpunkt der Anfrage keine Daten über den Anfragenden vorliegen, muss auch dies dem Anfragenden mitgeteilt werden. Zusätzlich gilt es zu beachten, dass die Anfrage selbst personenbezogene Daten (i.d.R. Name und Anschrift) enthält, die wiederum verarbeitet werden müssen, um die Anfrage zu bearbeiten. Deshalb gelten auch hier die allgemeinen Datenschutzgrundsätze. Das bedeutet: Es muss eine Datenschutzinformation nach Art. 13 DSGVO bereitgestellt werden. Darin sollte auch eine Angabe darüber enthalten sein, wie lange die Daten zur Auskunftsanfrage aufbewahrt werden.
Auskunftsersuchen nach Art. 15 DSGVO: Althammer & Kill sind Ihre Partner
Als kompetenter Spezialist stehen wir von Althammer & Kill Ihnen bei Fragen rund um die Verarbeitung und den Schutz von Daten zur Seite. Ganz gleich, ob es um eine Kopie von personenbezogenen Daten oder um die Gründe für die Verarbeitung geht, wir stellen sicher, dass Ihr Unternehmen den rechtlichen Vorschriften des Art. 15 DSGVO gerecht wird.
Sie möchten sich kompetent zum Auskunftsrecht beraten lassen? Dann nehmen Sie Kontakt zu uns auf und stellen Sie sicher, dass ein Auskunftsersuchen in Ihrem Unternehmen DSGVO- und BDSG-gerecht bearbeitet wird. Wir freuen uns, Sie mit unserer Expertise unterstützen zu können!