Kein anderes Betroffenenrecht erfreut sich solch kontroverser Diskussionen und unterschiedlicher Rechtsprechungen wie das Auskunftsrecht nach Art. 15 DSGVO. Fast immer stellt sich die Frage, in welchem Umfang die Auskunft erteilt werden muss. Oftmals lohnt sich allerdings die vorangestellte Frage, ob der Verantwortliche überhaupt Auskunft erteilen muss. Sowohl die DSGVO und das BDSG als auch länderspezifische Regelungen in den jeweiligen Landesdatenschutzgesetzen sehen diverse Ausnahmen vor, in denen die Auskunft verweigert werden kann und darf.
“Der Anspruch aus Art. 15 DSGVO dient aber nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann.” – LG Köln, Urteil v. 19. Juni 2019 – 26 S 13/18
Übersicht der Gründe, eine Auskunft nicht zu erteilen:
Datenschutz-Grundverordnung
- 12 Abs. 2 S. 2 DSGVO
Danach ist eine Verweigerung der Auskunft durch den Verantwortlichen nur dann zulässig, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Eine Identifizierung ist z.B. dann nicht möglich, wenn sich die betroffene Person ihr Recht unter einer pseudo- oder anonymisierten E‑Mailadresse geltend macht, die im Managementsystem keinem Kunden / Mandanten zugeordnet werden kann. Die Verweigerung ist jedoch nur so lange möglich bis sich der Betroffene eindeutig identifizierbar gemacht hat. Begründete Zweifel an der Identität berechtigen nicht zur Verweigerung der Auskunft, vielmehr dürfen gemäß Art. 12 Abs. 6 DSGVO mehr Informationen bei der betroffenen Person eingeholt werden, um das Recht auf Auskunft letztlich durchsetzen zu können (oder eben nicht).
- 12 Abs. 5 S. 2 lit. b DSGVO
Bei offensichtlich unbegründeten oder exzessiven Auskunftsanträgen einer betroffenen Person, kann der Verantwortliche die Auskunft verweigern. Exzessiv sind Auskunftsanträge insbesondere dann, wenn sie häufig wiederholt werden. Das ist z.B. der Fall, wenn die betroffene Person zuvor bereits beauskunftet wurde und nachweislich in der Zwischenzeit keine Datenverarbeitungen mehr stattgefunden haben. Offensichtlich unbegründet ist ein Antrag, wenn ohne eine vertiefte Prüfung erkennbar ist, dass die Voraussetzungen des gestellten Antrages nicht vorliegen. Daneben hat die Regelung den Zweck leichtfertige Antragstellungen präventiv zu verhindern und etwa Betrüger davon abzuhalten, an große Mengen von Verbraucherdaten zu gelangen.
- 15 Abs. 4 DSGVO
Grundsätzlich hat die betroffene Person im Rahmen ihres Auskunftsersuchens das Recht auf eine Kopie ihrer personenbezogenen Daten, Art. 15 Abs. 3 DSGVO. Die Ausnahme bezieht sich auf die Herausgabe der Kopie und besagt, dass diese nicht herausgegeben werden muss, wenn dadurch die Rechte und Freiheiten einer anderen Person beeinträchtigt werden. Die Ausnahme eröffnet die Möglichkeit, eine Grundrechtsabwägung zwischen den Rechten des Verantwortlichen und den Rechten der betroffenen Person vorzunehmen. Argumente für die Interessen des Verantwortlichen liegen z.B. in der Offenbarung von Betriebsgeheimnissen oder von Rechten des geistigen Eigentums (z.B. Urheber einer Software), wenn diese durch die Auskunft preisgegeben werden würden.
- Informationen des Betriebsrates
Bezogen auf die Herausgabe einer Kopie der personenbezogenen Daten und deren Verweigerung hatten wir in eigener Sache den Landesdatenschutzbeauftragten Baden-Württembergs um Unterstützung gebeten. Im vorgelegten Fall wurde das Recht auf Auskunft gegenüber dem Betriebsrat gestellt. Unabhängig der Frage, ob der Betriebsrat Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO und damit zur Auskunft verpflichtet ist, antwortete der Landesdatenschutzbeauftragte auf die Frage, ob Dokumente des Betriebsratsgremiums herausgegeben werden müssen, wie folgt: „Dokumente des Betriebsratsgremiums enthalten idR. sensible personenbezogene Daten anderer Arbeitnehmer-/ innen (z.B. in Anhörungsschreiben § 102 BetrVG etc.). Ob diese umfassend vom „Recht auf Kopie“ erfasst sind, halten wir für sehr fraglich.“ Auch Betriebsräte sind also angehalten, vor der Beauskunftung zu prüfen, ob die Durchführung des Rechts verweigert werden kann.
Bundesdatenschutzgesetz
Ergänzt werden die Ausnahmeregelungen der DSGVO durch das nationale Datenschutzgesetz BDSG. Das BDSG ist sowohl auf öffentliche als auch nicht-öffentliche Stellen anwendbar.
- 27 Abs. 2 BDSG
27 Abs. 2 BDSG enthält gleich zwei Ausnahmentatbestände. Sie beziehen sich auf Datenverarbeitungen zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken.
Satz 1 beschränkt das Auskunftsrecht, wenn die Durchsetzung von Art. 15 DSGVO voraussichtlich die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich macht oder ernsthaft beeinträchtigt und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist.
Das Recht auf Auskunft besteht darüber hinaus nicht, wenn die Daten für Zwecke der wissenschaftlichen Forschung erforderlich sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
Mangels breitem Anwendungsbereich soll hier nicht weiter darauf eingegangen werden.
- 28 Abs. 2 BDSG
Danach kann die Auskunft verweigert werden, wenn ein im öffentlichen Interesse liegendes Archivgut nicht durch den Namen der Person erschlossen ist oder keine Angaben gemacht werden, die das Auffinden des betreffenden Archivguts mit vertretbarem Verwaltungsaufwand ermöglichen.
Auch hier soll mangels breitem Anwendungsbereich nicht weiter darauf eingegangen werden.
- 29 Abs. 1 S. 2 BDSG
Das Recht auf Auskunft der betroffenen Person besteht nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.
Die Ausnahme ermöglicht es vor allem Berufsgeheimnisträgern das Auskunftsrecht gegenüber der betroffenen Person einzuschränken. Die Regelung erstreckt sich allerdings nur so weit, wie geheimhaltungswürdige Informationen offenbart werden würden. Ein Anspruch auf Auskunft besteht daher in Fällen, in denen personenbezogene Daten betroffen sind, die nicht im Rahmen eines Mandatsverhältnisses erhoben wurden, z. B. bei der Verarbeitung der Daten eigener Mitarbeiter oder Dienstleister. Sind allerdings Daten betroffen, die der Berufsgeheimnisträger in eben dieser Eigenschaft erhalten hat, wird man von einem vollständigen Ausschluss des Auskunftsanspruches ausgehen müssen.
- 34 BDSG
34 BDSG ergänzt die Reihe der Ausnahmen in den §§ 27 – 29 BDSG und enthält alternative als auch kumulative Voraussetzungen. Das Recht auf Auskunft besteht ergänzend nicht, wenn (1) die betroffene Person nach § 33 Abs. 1 Nr. 1, 2 lit. b oder Abs. 3 nicht zu informieren ist, oder (2) die Daten (a) nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder (b) ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.
Landesdatenschutzgesetze
Abschließen soll der Überblick der Vollständigkeit halber mit einem Verweis auf die Ausnahmetatbestände des Landesdatenschutzgesetzes Baden-Württemberg. Der Anwendungsbereich der LDSG erstreckt sich auf Behörden und sonstige Stellen des Landes, der Gemeinden und Gemeindeverbände und der sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts (öffentliche Stellen). Juristische Personen des Privatrechts sind hiervon entsprechend ausgenommen. Wichtig: Die Regelungen ergänzen die Durchführung der DSGVO und die des BDSG gleichermaßen, die des BDSG jedoch nur dann, wenn sie spezieller sind.
Datenschutzbeauftragte öffentlicher Stellen müssen bei der Prüfung, ob die Auskunft an die betroffene Person zu erteilen ist, neben den oben aufgelisteten Ausnahmetatbeständen der DSGVO und des BDSG auch die § § 9, 13 (4), 14 und 16 LDSG BW beachten. Entsprechende Regelungen finden sich in ähnlicher Weise auch in den LDSG der übrigen Länder.
Fazit
Bevor sich Verantwortliche in die teils aufwendige Arbeit stürzen, dem Recht auf Auskunft gemäß Art. 15 DSGVO adäquat nachzukommen, sollte im Prozessmanagement zuerst geprüft werden, ob eine Ausnahme oder eine Beschränkung des Rechts in der DSGVO oder dem BDSG bzw. dem entsprechenden LDSG vorliegt. Ergänzt wird die Liste der gesetzlichen Ausnahmetatbestände zukünftig durch Einzelfälle in der Rechtsprechung. Aggressive, aufdringliche und beharrliche Auskunftsersuchen dürfen nicht zur Einschüchterung führen. Auch wenn die Rechtslage rund um Art. 15 DSGVO noch nicht einheitlich und klar ist, bietet es doch auch die Chance die Durchsetzung des Rechts berechtigt zu verweigern.
Was Sie noch interessieren könnte:
Einwilligung – Drahtseilakt zwischen rechtlicher Ausgestaltung und praktischer Handhabung
Es begegnet uns nahezu alltäglich – das Erfordernis der Einwilligung. Im beruflichen wie auch im privaten Kontext. In der datenschutzrechtlichen […]
Interne Mitteilungen über Beschäftigte
Manche Dinge sind so trivial, man macht sie einfach. Aus Nettigkeit, aus Rücksicht, aus Freude, weil man eben muss […]
EU-US Data Privacy Framework – was lange währt wird endlich gut?
Am 10.07.2023 verabschiedete die EU-Kommission den neuen Angemessenheitsbeschluss für die USA – das Transatlantic Data Privacy Framework, kurz TADPF. […]
