Auskunft

Die Datenschutz Grundverordnung der Europäischen Union(DS-GVO) hat die Auskunftsrechte der Bürger gestärkt

Eine Verpflichtung, umfassend Auskunft über diese gespeicherten Daten zu erteilen, liegt grundsätzlich nur dann vor, wenn betroffene Personen ihr Auskunftsverlangen geltend machen (Art. 15 Abs. 1 DS-GVO).
Betroffene Personen müssen dieses Verlangen nicht begründen. Ferner muss auch kein irgendwie geartetes berechtigtes Interesse für das Auskunftsbegehren vorliegen. Das Gesetz sieht für das Auskunftsbegehren keine besondere Form (Schriftform oder ähnliches) vor. Sinnvoll ist es jedoch, die Auskunft schriftlich (Brief, Fax, E-Mail) anzufordern, um eine Identitätsprüfung zu erleichtern.

Zur Erteilung einer Auskunft ist grundsätzlich jeder Verantwortliche verpflichtet, bei dem ein entsprechendes Auskunftsbegehren geltend gemacht worden ist.
Dies gilt auch für den Fall, dass bei der verantwortlichen Stelle keine personenbezogenen Daten von demjenigen gespeichert sind, der die Auskunft begehrt. In diesem Fall ist vielmehr eine so genannte Negativauskunft zu erteilen, d.h. die Information zu geben, dass keine personenbezogenen Daten zu der betroffenen Person gespeichert sind.
Der Verantwortliche ist verpflichtet, sich vor Erteilung der Auskunft angemessen davon zu überzeugen, dass er die personenbezogenen Daten tatsächlich nur der richtigen betroffenen Person zukommen lässt („Identitätsprüfung“).Der Verantwortliche muss intern die korrekte und zeitnahe Beantwortung von Auskunftsverlangen sicherstellen, wobei in der DS-GVO eine regelmäßige Bearbeitungszeit innerhalb eines Monats vorgesehen ist.

Der Umfang der Auskunft ist in zwei Ebenen gegliedert. Zunächst geht es um die Frage, ob personenbezogene Daten zu einer Person gespeichert werden.

Falls ja, erstreckt sich die weitere Auskunft auf diese personenbezogenen Daten. Dies bedeutet, dass der betroffenen Person grundsätzlich alle gespeicherten personenbezogenen Einzel-Daten mitzuteilen sind, die sich auf sie beziehen. Mitzuteilen sind dabei die konkreten („Klartext“-) Informationen, und nicht nur die Kategorien der Daten. Ausreichend ist es deshalb nicht, nur mitzuteilen, dass „Name, Wohnort und Telefonnummer“ gespeichert sind. Es sind vielmehr die Daten „Max Mustermann, Hauptstraße 1, 09876 Neustadt, Telefon 1234567“ mitzuteilen. Art. 15 Abs. 3 DS-GVO spricht hierzu von einer „Kopie der personenbezogenen Daten“, die der Verantwortliche zur Verfügung stellt. Nur in Kenntnis dieser konkreten Daten weiß die betroffene Person, welche Daten über sie gespeichert sind und hat so die Möglichkeit, z. B. falsche Daten berichtigen zu lassen.

Gegebenenfalls soll die betroffene Person ihr Auskunftsbegehren konkretisieren bzw. eingrenzen, z. B. wenn bei Banken, Versicherungen, Energieversorgern oder sonstigen Unternehmen über Jahre hinweg große Datenmengen zu einem Betroffenen angefallen sind (Erwägungsgrund 63 zur DS-GVO).

Die Auskunft ist in der Regel in Textform, d.h. per Brief, Telefax oder E-Mail (transportverschlüsselt, bei sensiblen Daten: zusätzlich Ende-zu-Ende-verschlüsselt) zu erteilen und im Regelfall unentgeltlich (Art. 12 Abs. 5 DS-GVO).

Der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DS-GVO betrifft nach dem Wortlaut von dessen Abs. 1 eine Auskunftserteilung über die personenbezogenen Daten, die vom Verantwortlichen verarbeitet werden. Das bedeutet aber nicht regelmäßig die Herausgabe von allen Dokumenten, E-Mails etc., in denen z. B. der Name der betroffenen Person und eventuelle weitere Informationen über diese Person enthalten sind.

Nach Art. 15 Abs. 3 DS-GVO ist nur eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Es ist hier jedoch nicht die Rede von Kopien der betreffenden Akten, von sonstigen Unterlagen usw.

Hilfe bei Verstößen gegen die Auskunftsverpflichtung
Wenn betroffene Personen von einem Verantwortlichen aus dem nicht-öffentlichen Bereich in Bayern (Unternehmen, Freiberufler, Verein, Selbständiger usw.) die verlangte Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig bekommen, können sie sich mit einer Beschwerde an das Bayerische Landesamt für Datenschutzaufsicht (www.lda.bayern.de), wenden. Damit die Aufsichtsbehörde in diesen Fällen schnell und effektiv prüfen kann, ob ein Verstoß gegen die Auskunftsverpflichtung vorliegt, ist es sinnvoll, ihr eine vollständige Kopie des angefallenen Schriftverkehrs zukommen zu lassen.

Löschung

Personenbezogene Daten sind gemäß Art. 17 DS-GVO auf Verlangen von betroffenen Personen grundsätzlich zu löschen. Personenbezogene Daten sind auch ohne, dass Betroffene dies explizit verlangen, grundsätzlich unverzüglich zu löschen, wenn es keine andere Rechtsgrundlage für die weitere Speicherung mehr gibt.

Zudem ist der Verantwortliche verpflichtet, wenn er die personenbezogenen Daten öffentlich gemacht hat, angemessene Maßnahmen zu treffen, andere Verantwortliche über das Löschungsverlangen einer betroffenen Person bezüglich aller Links zu diesen Daten oder von Kopien zu informieren.

Eine Löschung von personenbezogenen Daten ist unter anderem ausgenommen, wenn und soweit die Speicherung zur Erfüllung einer rechtlichen Verpflichtung notwendig ist, z. B. im Rahmen von gesetzlichen Aufbewahrungspflichten, etwa aus dem Steuerrecht oder dem Handelsrecht.

Zu Beweiszwecken der Erfüllung dieses Anspruchs dürfen Sie die Dokumentationen über durchgeführte Datenlöschungen für eventuelle folgende Rechtsstreitigkeiten bis zu drei Jahre aufbewahren (Art. 6 Abs. 1 Satz 1 Buchst. f DS-GVO, Interessenabwägung), das ist die allgemeine Verjährungsfrist für Ansprüche nach dem BGB.

Löschung bei Werbung
Wenn betroffene Personen von Unternehmen unerwünschte, personalisierte Postwerbung erhalten, wünschen sie vom Absender oftmals gleichzeitig eine Löschung ihrer Postadresse und die Gewähr, künftig von solcher Werbung des Absenders verschont zu bleiben.

Möchte die betroffene Person vorrangig von einer werblichen Ansprache durch das Unternehmen verschont bleiben, ist dafür die Aufnahme ihrer Kontaktdaten in eine Werbesperrdatei bei diesem Unternehmen das richtige Mittel zur Berücksichtigung ihres Willens. Bei der (datenschutzrechtlich zulässigen) Nutzung von Fremddaten kann dann durch Abgleich mit der Werbesperrdatei sichergestellt werden, dass die Kontaktdaten dieser betroffenen Person nicht verwendet werden.

Wenn die betroffene Person ausdrücklich und allein eine Löschung aller Daten wünscht, ist es möglich, dass sie bei einem künftigen – rechtlich zulässigen – Einsatz von Fremddaten eventuell wieder Werbung erhalten kann.

Weitere Informationen hierzu finden Sie auch in unserem 8. Tätigkeitsbericht 2017/2018 (Tätigkeitsbericht), in Kapitel 7, S.46ff

Weitere Informationen / Links