Meine Daten gehören mir! Wie setze ich meine DSGVO-Ansprüche auf Auskunft und Schadensersatz durch?

Ihre Daten gehören Ihnen! Sie kontrollieren, wer sie verarbeiten darf. Deshalb haben Sie nach Art. 15 DSGVO das Recht von jedem, der Ihre Daten verarbeitet, Auskunft zu erhalten. Bei einem Verstoß entsteht gemäß Art. 82 DSGVO ein Schadensersatzanspruch. 

In diesem Beitrag erkläre ich Ihnen, was es genau damit auf sich hat und wie Sie Ihre Rechte effektiv durchsetzen. Am Ende finden Sie zudem ein Muster für eine Auskunftsanfrage, das Sie kostenlos nutzen können.

Ich habe gehört, dass Arbeitgeber zur Zahlung von Schadensersatz nach Art. 82 DSGVO verurteilt wurden. Stimmt das?

Das ist richtig. Das Arbeitsgericht Düsseldorf hat einem Kläger  gemäß Art. 82 DSGVO einen Schadensersatz in Höhe von 5.000 € zugesprochen. Er verlangte von seinem ehemaligen Arbeitgeber die Erteilung einer Auskunft über die Verarbeitung seiner personenbezogenen Daten. Der Arbeitgeber kam diesem Verlangen jedoch erst verspätet nach.

Das Urteil überrascht nicht: Ihr (ehemaliger) Arbeitgeber speichert viele sensible Daten, wie Ihre Kontoverbindung, Ihre Konfession, Ihr Gehalt, etc. Sie haben ein Recht darauf zu erfahren, welche Daten er genau über Sie gespeichert hat und was er damit macht. Wenn Ihr Arbeitgeber die Kooperation mit Ihnen verweigert, müssen Sie Schritte einleiten, um zu Ihrem guten Recht zu gelangen. Ihre Daten gehören Ihnen!

Der Auskunftanspruch und ein Anspruch auf Schadensersatz stehen Ihnen aber nicht nur gegenüber Ihrem Arbeitgeber zu. Diese Ansprüche haben Sie gegenüber jedem, der unter Verletzung der DSGVO Ihre Daten verarbeitet.

Kann ich immer einen Schadensersatzanspruch nach Art. 82 DSGVO geltend machen, wenn der Verantwortliche meine Anfrage gar nicht, nicht rechtzeitig oder nicht vollständig beantwortet?

Nach Art. 82 Absatz I DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein Schaden entstanden ist, Anspruch auf Schadensersatz. Bei Verstößen im Zusammenhang mit dem Auskunftsanspruch entsteht in der Regel nur ein immaterieller Schaden (wie Schmerzensgeld). Ob Sie wirklich Anspruch auf eine Kompensation in Geld haben, ist abhängig vom Einzelfall. Diese Frage wurde nämlich noch nicht höchstgerichtlich geklärt. Geht es um Ihren (ehemaligen) Arbeitgeber, haben Sie aber gute Chancen.

Was bringt mir der Auskunftsanspruch nach Art. 15 DSGVO?

Durch den Auskunftsanspruch erhalten Sie Informationen darüber, welche Daten von Ihnen wie verarbeitet werden. Wenn Ihnen ein unbekanntes Unternehmen Werbemails schickt, können Sie so herausfinden, woher es Ihre Mailadresse hat. Auch ist es möglich, auf diesem Weg Ihren Schufa-Score herauszufinden. Sie können durch Art. 15 DSGVO von Ihrem ehemaligen Arbeitgeber erfahren, welche Daten von Ihnen er noch gespeichert hat und ob er sich an die Löschfristen hält. Aufbauend auf der Auskunft können Sie zudem Ihre Rechte auf Löschung und Berichtigung Ihrer Daten durchsetzen.

Welche Informationen umfasst der Auskunftsanspruch?

Zunächst muss der Verantwortliche Ihnen mitteilen, ob er überhaupt Daten von Ihnen verarbeitet. Wenn dem so ist, haben Sie ein Recht auf Auskunft über diese Daten und verschiedene weitere Informationen. Dazu gehören zum Beispiel die Zwecke für die Verarbeitung Ihrer Daten, die Frage, welcher Kategorie Ihre Daten angehören (z.B. Ihre sexuelle Orientierung, Religion, Gewerkschaftszugehörigkeit), deren geplante Speicherdauer und Ihre Rechte als Betroffener.

Wie und gegen wen mache ich den Auskunftsanspruch geltend?

Nach Art. 12 Absatz I S. 1 DSGVO können Sie Ihren Auskunftsanspruch gegen die verantwortliche Stelle geltend machen. Der Verantwortliche ist derjenige, der über die Zwecke und Mittel der Verarbeitung Ihrer Daten entscheidet. Vereinfacht gesagt: Sie können die Auskunft von dem Unternehmen verlangen, das Ihre Daten gespeichert hat. Dies können Sie formlos machen. Das heißt es macht keinen Unterschied, ob Sie einen Brief oder eine E-Mail schicken. Achten Sie aber darauf, dass der Verantwortliche Sie identifizieren kann. Benutzen Sie deshalb am besten eine E-Mail-Adresse, die der verantwortlichen Stelle bekannt ist. Auch können Sie zusätzliche Informationen wie Ihre Benutzerkennung oder Ihr Geburtsdatum zur Verfügung stellen.

Unter diesem Artikel finden Sie ein Muster für eine Anfrage, das Sie kostenfrei verwenden können.

Wie lange hat die verantwortliche Stelle Zeit, um die Auskunft zu erteilen?

Der Verantwortliche hat nach Art. 12 Absatz III S. 1 DSGVO einen Monat Zeit, um Ihnen die Auskunft zu erteilen. Das bedeutet zum Beispiel: Wenn Sie am Montag, den 05.07.2021 eine Mail mit Ihrem Auskunftsersuchen verschicken, hat er bis zum Ende des 05.08.2021 (Donnerstag) Zeit, Ihrem Begehren nachzukommen. Fällt das Ende der Frist auf einen Sonntag oder Feiertag, verlängert sie sich bis zum nächsten Werktag.

Der Verantwortliche behauptet, er könne mich nicht identifizieren und verweigert deshalb die Auskunft. Darf er das und was kann ich dagegen machen?

Der Verantwortliche kann nach Art. 12 Absatz VI DSGVO zusätzliche Informationen anfordern, wenn er begründete Zweifel an Ihrer Identität hat. Die Zweifel können begründet sein, wenn Sie Ihren Antrag beispielsweise von einer ihm fremden Mail-Adresse verschickt haben. Sollte dies der Fall sein, können Sie die Unklarheiten schnell aus der Welt schaffen. Häufig steckt aber leider eine reine Verzögerungstaktik dahinter. Dann darf er Ihnen die Auskunft nicht verweigern. Wichtig: Auch bei Zweifeln an Ihrer Identität verlängert sich die Erfüllungsfrist von einem Monat nicht.

Was kann ich machen, wenn die verantwortliche Stelle mir nicht fristgerecht die Auskunft erteilt?

Lässt der Verantwortliche die Frist von einem Monat verstreichen, befindet er sich im Verzug. Das hat zur Folge, dass Sie die Erteilung der Auskunft klageweise herbeiführen können. Außerdem können Sie sich bei der Landesdatenschutzbehörde beschweren. Sogar ein Schadensersatzanspruch nach Art. 82 DSGVO ist möglich.

Der Verantwortliche hat nur einen Teil meines Auskunftsersuchens beantwortet. Was kann ich dagegen machen?

Der Verantwortliche hat einen Monat Zeit, um Ihnen eine komplette Auskunft zu erteilen. Beantwortet er nur einen Teil, befindet er sich ebenfalls im Verzug. Sie können sich bei der Datenschutzbehörde beschweren und ihn verklagen. Auch in diesem Fall können Sie Schadensersatz fordern.

Was kann ich machen, wenn ich weitere Fragen zum Auskunftsanspruch, zum Schadensersatzanspruch oder zu anderen Themen der DSGVO habe?

Zögern Sie bitte nicht, mich zu kontaktieren. Als Rechtsanwalt und TÜV-zertifizierter Datenschutzbeauftragter verfüge ich über einen großen Erfahrungsschatz im Bereich des Datenschutzrechts. Meine Mitarbeiter und ich werden Ihren Fall vorab prüfen und Ihre Erfolgschancen sondieren. Dabei gehen wir auch auf die Frage nach einem Schadensersatz ein. Gerne stellen wir ebenso eine Deckungsanfrage an Ihre Rechtsschutzversicherung, um Ihr Kostenrisiko vorab zu minimieren. 

Sie können mir direkt über anwalt.de eine Nachricht schicken oder mich wie folgt kontaktieren:

E-Mail: kristian.borkert@juribo.de
Telefon: 07151 966 9380

Ihr
Kristian Borkert

Unser Muster für eine Auskunft nach Art. 15 DSGVO für Sie zur kostenfreien Nutzung:

Sehr geehrte Damen und Herren,

hier können (müssen aber nicht) Sie eintragen, in welcher Verbindung Sie zu dem Verantwortlichen stehen, z.B. „Ich war von Juni 2018 bis September 2020 in Ihrem Unternehmen beschäftigt“. Ich bitte um Auskunft darüber, ob Sie personenbezogene Daten über meine Person gespeichert haben.

Sollte dies der Fall sein, bitte ich um Auskunft darüber,

a) welche personenbezogenen Daten ganz konkret bei Ihnen verarbeitet werden sowie
b) zu welchem Zweck diese Daten verarbeitet werden.

Darüber hinaus fordere ich Informationen über

c) die Kategorien personenbezogener Daten, die verarbeitet werden,
d) Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig noch erhalten werden,
e) die geplante Speicherdauer bzw. die Kriterien für die Festlegung dieser Dauer,
f) das Bestehen eines Rechts auf Berichtigung oder Löschung der Daten oder auf Einschränkung der Verarbeitung,
g) ein ggf. bestehendes Widerspruchsrecht gegen diese Verarbeitung nach Art. 21 DSGVO,
h) mein Beschwerderecht bei der zuständigen Aufsichtsbehörde,
i) die Herkunft der Daten.

j) Sollte eine automatisierte Entscheidungsfindung einschließlich Profiling stattfinden, bitte ich um aussagekräftige Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren.
k) Falls eine Datenübermittlung in Drittländer stattfindet, bitte ich um Informationen, welche Garantien gemäß Art. 46 DSGVO vorgesehen sind.

Bitte stellen Sie mir außerdem kostenfrei eine Kopie meiner bei Ihnen gespeicherten personenbezogenen Daten zur Verfügung.

Zur zweifelsfreien Identifizierung meiner Person stelle ich Ihnen gerne noch meinen Benutzernamen / mein Geburtsdatum zur Verfügung: (Hier können Sie bei einer E-Mail die jeweilige Information optional eintragen)

Mit freundlichen Grüßen