News

Umfang und Grenzen des Auskunftsrechts

Kategorie: Datenschutz

Umfang und Grenzen des Auskunftsanspruchs sowie des Rechts auf Kopie 

Art. 15 Abs. 1 DSGVO gibt dem Betroffenen die Möglichkeit, vom Verantwortlichen Auskunft über die ihn betreffenden und verarbeiteten personenbezogenen Daten zu erlangen. Überdies hat der Betroffene gem. Art. 15 Abs. 3 DSGVO ein Recht auf Kopie, welches ihm den Erhalt seiner persönlichen Daten gewährleisten soll. Dabei soll die Kopie dem Betroffenen die Möglichkeit geben, eine Überprüfung der Rechtsmäßigkeit der Datenverarbeitung zu ermöglichen. Diese Zielsetzung folgt aus dem Erwägungsgrund 63 S.1 zur DSGVO.

Diese weit gefassten Wortlaute führen in zahlreichen Bereichen, wie bspw. in einem gekündigten Beschäftigungsverhältnis dazu, dass das jeweilige Auskunftsersuchen durch den Arbeitgeber nur schwerlich zu erfüllen ist. Gerade vor diesem Hintergrund stellt sich die Frage nach dem Umfang des Rechts auf Kopie. Die heutige Aktuelle Information möchte einen kurzen Überblick über das in der DSGVO normierte Auskunftsrecht und das Recht auf Kopie geben. Weiterhin soll die Problematik hinsichtlich des Umfangs des Rechts auf Kopie erörtert werden. Die Aktuelle Information endet sodann mit einer Handlungsempfehlung zum Umgang mit dem Recht auf Kopie iSd Art. 15 Abs. 3 DSGVO.

 


Das Auskunftsrecht nach Art. 15 DSGVO

Ein näherer Blick auf das in Art. 15 DSGVO normierte Auskunftsrecht offenbart, dass in Art. 15 DSGVO ein zweistufiger Auskunftsanspruch normiert ist. Im Rahmen der ersten Stufe ist es dem Betroffenen möglich eine Auskunft dahingehend zu verlangen, ob der Verantwortliche über ihn überhaupt personenbezogene Daten verarbeitet. Ist dies zu bejahen, so steht dem Betroffenen auf der zweiten Stufe das Recht zu, eine umfassende Auskunft erteilt zu bekommen.


a.) Vorab: Identitätsprüfung
Vorab kann es notwendig sein, eine Identitätsprüfung des Auskunftsersuchenden vorzunehmen. Schließlich muss bei der Beantwortung des Auskunftsersuchens gewährleistet sein, dass unbefugte Dritte keinen Zugriff auf personenbezogene Daten erhalten. Ausreichend wird hier eine Plausibilitätsprüfung sein. Sofern erforderlich, kann der Verantwortliche zudem weitergehende Informationen vom Auskunftsersuchenden anfordern, um die Identität des Betroffenen festzustellen. Sollte die Identitätsfeststellung nicht herstellbar sein, so muss die Beantwortung des Auskunftsersuchens unterbleiben. Der Auskunftsersuchende ist zu informieren und der Vorgang ist entsprechend durch den Verantwortlichen zu dokumentieren.

b.) Erste Stufe: Allgemeiner Auskunftsanspruch des Betroffenen
Das Recht iSd Art. 15 Abs. 1 DSGVO vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden, kann auch bedeuten, dass eine Negativauskunft zu erteilen ist, soweit der Verantwortliche feststellt, dass über die auskunftsersuchende Person bis auf die Anfrage keine personenbezogenen Daten verarbeitet werden.

Zweite Stufe: Form und Inhalt der Auskunft
Kann festgestellt werden, dass personenbezogene Daten des Auskunftsersuchenden verarbeitet werden, so steht diesem ein umfassendes Auskunftsrecht zu. Im Zuge der Auskunftserteilung hat der Verantwortliche die Grundsätze des Art. 12 DSGVO zu beachten. Damit muss die Auskunft in präziser, transparenter, verständlicher und leicht zugänglicher Form erfolgen. Bei der Auskunftserteilung ist überdies zu berücksichtigen, dass das Auskunftsrecht alle Daten, die im Zeitpunkt des Auskunftsverlangens bei dem Verantwortlichen verarbeitet werden, umfasst. Grundsätzlich ist die Auskunft zunächst unentgeltlich zu erteilen und enthält die folgenden Informationen:

  • Verarbeitungszwecke
  • Kategorien personenbezogener Daten, die verarbeitet werden,
  • Die Empfänger oder Kategorien von Empfängern,
  • Dauer der Speicherung oder Kriterien für die Festlegung dieser Dauer,
  • Betroffenenrechte (Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Widerspruchsrecht und Beschwerderecht bei einer Aufsichtsbehörde)
  • alle verfügbaren Informationen über die Herkunft der Daten, 
  • automatisierte Entscheidungsfindung und Profiling,
  • Übermittlung in Drittländer

 

Das Recht auf Kopie

Gem. Art. 15 Abs. 3 DSGVO hat der Verantwortliche dem Betroffenen eine Kopie der personenbezogenen Daten zur Verfügung zu stellen. Da bei vielen Verantwortlichen die Verarbeitung von personenbezogenen Daten nicht isoliert stattfindet, sondern zumeist Bestandteil eines Arbeitsergebnisses ist, stellt sich die Frage nach dem Umfang des Rechts auf Kopie. 
Muss der Verantwortliche nun alle seine Dokumente, die personenbezogene Daten des Auskunftsersuchenden enthalten, an diesen per Kopie weitergeben? Oder beschränkt sich das Recht auf Kopie auf die in Art. 15 Abs. 1 DSGVO normierten Angaben?

a.) Meinungsübersicht

aa.) Juristische Literatur:
In der juristischen Literatur werden hierzu verschiedene Ansichten vertreten. 
Einige Vertreter der Literatur teilen die Ansicht, dass Verantwortliche dem jeweiligen Betroffenen sämtliche sie betreffende personenbezogenen Daten in Form einer Kopie zur Verfügung stellen müssen. Begründet wird diese Ansicht mit der Systematik des Gesetzes. Art. 15 Abs. 3 DSGVO tritt demnach neben den allgemeinen Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO, sodass das Recht auf Kopie nicht auf die in Art. 15 Abs. 1 DSGVO gemachten Angaben reduziert sei. Andere Vertreter der Literatur sind hingegen der Ansicht, der Betroffene könne lediglich eine Kopie der in Art. 15 Abs. 1 lit. a – h DSGVO geregelten Informationen verlangen.

bb.) Ansicht der Aufsichtsbehörden
Auch zwischen den Aufsichtsbehörden besteht noch keine Einigkeit darüber, inwieweit die Reichweite des Rechts auf Kopie greift. Die bayrische Datenschutzaufsichtsbehörde hat in Ihrem Tätigkeitsbericht 2017/2018 anklingen lassen, dass Art. 15 Abs. 1 DSGVO restriktiv auszulegen sei. Somit reiche das Recht auf Kopie nicht so weit, dass durch den Verantwortlichen Dokumente herauszugebnen seien, in welchem der Name des Betroffenen zu finden sei. 

cc.) Bisherige Gerichtsurteile - Das Urteil des LAG Baden-Württemberg 
Das LAG Baden-Württemberg hat am 20.12.2018 zum Umfang der Pflichten nach Art. 15 DS-GVO ein erstes Urteil gefällt. Demnach soll das Recht auf Auskunft weit auszulegen sein. Somit sollen Arbeitnehmer von ihren Arbeitgebern eine Kopie von personenbezogenen Leistungs- und Verhaltensdaten fordern können, die Gegenstand der Verarbeitung sind. Der Entscheidung lässt sich nicht entnehmen, welche Daten konkret herauszugeben sind.

dd.) Europäischer Vergleich
Als Auslegungshilfe kann man zudem noch die Handlungsweise der anderen europäischen Staaten betrachten. Die DSGVO ist schließlich als Verordnung in allen Mitgliedstaaten der europäischen Union anwendbar. Damit gilt ein einheitlicher Maßstab in den Mitgliedstaaten der EU. 

Nach unserer Kenntnis wird über die Reichweite des Rechts auf Kopie insbesondere in Polen eine Diskussion geführt. Insbesondere die polnische Datenschutzbehörde ist der Ansicht, dass Art. 15 Abs. 3 DSGVO keine Verpflichtung zur Bereitstellung einer Kopie der Dokumente bedeutet, in denen personenbezogene Daten des Betroffenen verarbeitet werden. Vielmehr sei es die Entscheidung des Verantwortlichen, ob dieser eine Kopie der Dokumente oder eine Kopie der in diesen Dokumenten enthaltenen Daten zur Verfügung stellt. Zudem sei es nicht notwendig, Zugang zu jedem der aufbewahrten Dokumente zu Verfügung zu stellen, wenn der Umfang der darin enthaltenen Daten gleich sei.

ee.) Fazit: Es sprechen gute Gründe, einen umfassenden Herausgabeanspruch aus Sicht des Verantwortlichen abzulehnen. Jeder Verantwortliche sollte sich jedoch über die Risiken im Zusammenhang mit der Erfüllung des Auskunftsanspruchs und des Rechts auf Kopie bewusst sein. Nur dann kann er auch entscheiden, ob er ggf. eine gerichtliche Klärung des Umfangs des Auskunftsanspruchs in Kauf nimmt.

b.) Beachtung von Rechten und Freiheiten anderer Personen iSd Art 15 Abs. 4 DSGVO
Im Zuge der Informationsgewinnung sollten die einzelnen Quellen auch danach gesichtet werden, ob diese ggf. nicht an den Betroffenen weitergegeben werden können. Problematisch sind dabei Informationen, die z.B. personenbezogene Daten von Dritten oder Geschäftsgeheimnisse enthalten.

 


Handlungsempfehlung

Ignorieren Sie kein Auskunftsverlangen und machen Sie sich nach Möglichkeit noch vor der Ausübung eines Betroffenenrechts mit Ihrem Datenschutzbeauftragten Gedanken, wie Sie die Auskunft nebst dem Recht auf Kopie mit Ihren zur Verfügung stehenden Mitteln am besten erfüllen können. Im Hinblick auf die Reichweite des Rechts auf Kopie ist zu hoffen, dass die bisherigen Unsicherheiten durch baldige höchstrichterliche Entscheidungen geklärt werden. Bis dahin wird es wohl in der Praxis nicht vermeidbar sein, sich mit dem Betroffenen über die Art und Weise der Beauskunftung abzustimmen, um streitige Auseinandersetzungen aufgrund der derzeit bestehenden Rechtsunsicherheit zu vermeiden. Für eine derartig abgestufte Handlungsweise spricht die DSGVO und wohl die Tatsache, dass nicht jeder Betroffene stets ein Interesse am Erhalt einer Datenkopie haben wird, die über dem Umfang des Art. 15 Abs. 1 lit. a – h DSGVO hinausgeht. 

 

Nutzen Sie unsere Tipps als Aushang für Ihre Mitarbeiter

Gerne teilen wir unser Wissen mit Ihnen und bieten Ihnen unsere Informationen als Download: