Berliner Datenschutzbeauftragter gibt im Jahresbericht 2022 Hinweise u.a. zur Auskunft nach DSGVO

Auskunftsersuchen

Die Vorgaben in der Datenschutz-Grundverordnung sehen zum Schutz der betroffenen Personen unter anderem ein Recht betroffener Personen auf Auskunfterteilung vor (Art. 15 DSGVO). Von diesem Recht wird inzwischen auch immer häufiger Gebrauch gemacht. Deshalb verwundert es kaum, dass Fehler bei der Erteilung datenschutzrechtliche Auskünfte auch immer wieder Gegenstand von Beschwerden bei den Datenschutz-Aufsichtsbehörden sind. Informationen dazu, was Sie bei einer datenschutzrechtlichen Auskunftsanfrage beachten sollten, finden Sie hier.

Hinweise zur Auskunft nach DSGVO im Jahresbericht 2022 des Berliner Datenschutzbeauftragten

Schon die Überschrift unter dem Punkt 10.1 des Jahresberichtes macht deutlich, worum es bei der Auskunfterteilung geht: „Benutzungsfreundliche Datenauskunft: Bitte vollständig und verständlich!“. Was dies konkret bedeutet, wird anschließend erläutert:

Umfang der Auskunft:

„Eine vollständige Auskunft enthält nicht etwa nur die Stammdaten aus der Kundendatenbank, also Name, Adressdaten und Geburtsdatum, sondern sämtliche zur Person gespeicherte Daten, wie u. a. Bestellhistorie, Bonitätskennzahlen, Log-in-, Klick- und Browserdaten oder die Kommunikation mit der betroffenen Person. Darüber hinaus sind der betroffenen Person weitere Informationen (sog. Metainformationen) mitzuteilen, also z. B. woher die Daten stammen, an wen sie weitergegeben wurden oder wie lange sie gespeichert werden. Sollten einzelne Punkte im konkreten Fall nicht einschlägig sein, etwa weil keine Weitergabe der Daten erfolgt ist, dürfen die Verantwortlichen nicht einfach dazu schweigen, sondern müssen eine entsprechende Negativauskunft erteilen. Anderenfalls wäre für die betroffene Person nicht erkennbar, ob tatsächlich keine entsprechende Datenverarbeitung stattfand oder die Datenauskunft lediglich unvollständig ist.“

Verweis auf die Datenschutzerklärung reicht nicht:

„Manche Unternehmen verweisen bei der Erteilung der Datenauskunft einfach auf die Ausführungen in ihrer Datenschutzerklärung. Ein solcher Verweis kann die individuelle Auskunft allerdings nicht ersetzen. Während die Datenschutzerklärung der Erfüllung allgemeiner Informationspflichten vor einer Datenverarbeitung dient, müssen die Angaben bei einem Auskunftsersuchen auf die betroffenen Personen zugeschnitten sein. Die unveränderte Übernahme von Textteilen aus der Datenschutzerklärung in eine Datenauskunft ist nur dann möglich, wenn die Informationen gleich bleiben, wie dies etwa im Hinblick auf das Beschwerderecht bei einer Aufsichtsbehörde der Fall ist.“

Bei Nutzung von internen Abkürzungen oder Codes sind ergänzende Informationen erforderlich:

„Wenn die Datenauskunft interne Abkürzungen oder Codes enthält, kann es schwierig sein, diese zu verstehen. Hier müssen die Verantwortlichen mindestens ergänzende Informationen bereitstellen. Diese dürfen allerdings nicht dazu führen, dass die betroffene Person erst mühsame Übersetzungsarbeit leisten muss, um die Datenauskunft verstehen und überprüfen zu können. Zur Verständlichkeit gehört auch die visuelle Form der Darstellung einer Datenauskunft. Bei einem von uns geprüften Verantwortlichen konnten die Informationen in der Datenauskunft aufgrund der gewählten Darstellungsweise mit vielen Tabellenspalten und einer minimalen Schriftgröße weder digital als Ganzes lesbar betrachtet noch im regulären DIN A4-Format ausgedruckt werden. In diesem Fall konnten wir das Unternehmen davon überzeugen, eine alternative Form der Darstellung zu wählen.“

Vorsicht mit der Verweigerung der Auskunftserteilung unter Verweis auf Rechtsmissbrauch!

Auch Fälle, in denen mit den Auskunftsanfragen datenschutzfremde Zwecke verfolgt worden sind, waren Gegenstand von Beschwerden. Unter dem Punkt 10.2 des Jahresberichtes finden sich hierzu die folgenden Hinweise:

„Zur Reichweite des Auskunftsanspruchs nach der DSGVO hat der Bundesgerichtshof (BGH) dem Europäischen Gerichtshof (EuGH) Fragen vorgelegt. Der BGH bezweifelt, dass das mit dem Auskunftsersuchen verbundene Verfolgen von anderen als datenschutzrechtlichen Zwecken automatisch zu einem Ausschluss des Auskunftsanspruchs führt. Nach dem Wortlaut der DSGVO sei das Bestehen des Auskunftsrechts nicht an die Motivation der betroffenen Person gekoppelt, entsprechend müsse das Auskunftsersuchen auch nicht begründet werden. Dies spreche dafür, dass der Unionsgesetzgeber es grundsätzlich der betroffenen Person überlassen wollte, ob und aus welchen Gründen sie das Auskunftsersuchen stellt. Daher dürfe nicht allein aufgrund des Umstands, dass ein Auskunftsbegehren auf Übermittlung einer Datenkopie auf datenschutzfremde Gründe gestützt wird, darauf geschlossen werden, dass dieser offenkundig unbegründet oder exzessiv sei.“

Weitere Themen sind zum Teil echte „Klassiker“:

Verschiedene weitere Themen des Jahresberichtes betreffen altbekannte datenschutzrechtliche Probleme wie z.B. offene E-Mail-Verteiler.

Den vollständigen Bericht der Berliner Beauftragten für Datenschutz und Informationsfreiheit Meike Kamp können Sie hier abrufen:

https://www.datenschutz-berlin.de/jahresbericht-2022

Schlussfolgerungen für die Praxis:

Kurz gesagt: Bereiten Sie sich auf datenschutzrechtliche Auskunftsanfragen vor, um gegebenenfalls schnell und richtig reagieren zu können. Anderenfalls drohen unnötige Weiterungen: je nach Fall durch die Einschaltung der zuständigen Datenschutz-Aufsichtsbehörde oder auch durch die Einschaltung von Anwälten.

Zu mir und meiner Tätigkeit:

Ich berate als Fachanwalt für IT-Recht bei Internetrecht-Rostock.de Unternehmen unter anderem zu datenschutzrechtlichen Fragen.

Weitere Informationen zu mir und meiner Tätigkeit können Sie meiner Profilseite, meinen Rechtstipps und meinem Bewertungsprofil entnehmen.

Ich berate Sie bundesweit auch kurzfristig.

Sie wünschen eine Beratung?

Sie wünschen ein Angebot für eine konkrete Beratung zu einem Ihnen vorliegenden datenschutzrechtlichen Auskunftersuchen?

• Rufen Sie mich einfach an unter: 0381 260 567 30
• Schicken Sie mir eine E-Mail an: rostock@internetrecht-rostock.de
• Oder lassen Sie mir über die Funktion „Nachricht senden“ direkt unter diesem Rechtstipp eine Mitteilung zukommen.

Andreas Kempcke

Rechtsanwalt 

Fachanwalt für IT-Recht

Zertifizierter Datenschutzbeauftragter (TÜV)

Internetrecht-Rostock.de

Möglicherweise ebenfalls für Sie interessant:

Auch ein Schreiben von der Datenschutzaufsicht erhalten?

Abmahnung wegen Datenschutzverstoß