Der datenschutzrechtliche Auskunftsanspruch nach Artikel 15 DSGVO und sein Umgang damit im Unternehmen

Unsere Kanzlei betreut seit Jahren eine Vielzahl von Mandanten in datenschutzrechtlichen Angelegenheiten.

So werden durch unsere Kanzlei auch regelmäßig Auskunftsgesuche, sowohl für datenverarbeitende Unternehmen aber auch Betroffene, begleitet.

Aufgrund des in den letzten Tagen viel diskutierten Urteils des EuGH (Urteil vom 12.01.2023, Az: C-154/21), in welchem der Auskunftsanspruch nochmals gestärkt wurde, hat das Thema erneut Fahrt aufgenommen.

Wir möchten im Folgenden insbesondere über die Konsequenzen einer unvollständigen bzw. nicht erteilten Auskunft gegenüber Betroffenen aufklären:

Die DSGVO hat den Betroffenen verschiedene Rechte eingeräumt, welche sie gegenüber der verantwortlichen Stelle wahrnehmen können.

Nach Artikel 12 Abs. 1 DSGVO ist die verantwortliche Stelle für eine Datenverarbeitung verpflichtet, geeignete Maßnahme zu treffen, um Informationen nach Artikel 13 und 14 DSGVO und alle Mitteilungen nach Artikel 15 bis 22 DSGVO, die sich auf die Verarbeitung der personenbezogenen Daten beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form und einer klaren und einfachen Sprache zu übermitteln.

So entstehen bereits bei der Erhebung von personenbezogenen Daten nach Artikel 13 Abs. 1 DSGVO von der verantwortlichen Stelle umfangreiche Mitteilungspflichten, wie beispielsweise die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für diese Verarbeitung.

Zudem hat die verantwortliche Stelle der betroffenen Person zum Zeitpunkt der Erhebung der Daten gewisse Informationen zur Verfügung zu stellen, welche notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Hierzu gehört u. a. eine Information über die Dauer der Speicherung von personenbezogenen Daten.

Auskunftsgesuche sollten von Ihrem Unternehmen niemals auf die leichte Schulter genommen und stets mit größter Sorgfalt angegangen werden.

Grundsätzlich hat die betroffene Person nach Artikel 15 DSGVO das Recht, von der verantwortlichen Stelle eine schriftliche Mitteilung darüber zu erhalten, ob über die betroffene Person betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat die betroffene Person ein Recht auf Auskunft über diese konkreten personenbezogenen Daten sowie auf die weiteren Informationen i. S. d. Artikels 15 Abs. 1 a) bis h) DSGVO.

Die verantwortliche Stelle muss auf Anträge der betroffenen Person i. S. d. Artikels 15 DSGVO innerhalb eines Monats antworten. Grundsätzlich ist es jedoch möglich, die Frist zu verlängern. In diesem Falle müssen die für die Verlängerung gegebenen Gründe innerhalb der Monatsfrist der betroffenen Person mitgeteilt werden. Sofern die verantwortliche Stelle auf den Antrag der betroffenen Person nicht tätig wird, so hat sie die betroffene Person spätestens innerhalb eines Monats nach Eingang des Auskunftsersuchens über die Gründe für die Untätigkeit zu informieren sowie über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen. Die Frist kann jedoch nur ausnahmsweise um zwei Monate verlängert werden. Sofern die Auskunftserteilung unabhängig jeglicher Begründung innerhalb von drei Monaten nicht erteilt wird, so handelt es sich ebenfalls um einen Verstoß gegen das Auskunftsrecht des Betroffenen.

Die Rechte der Betroffenen aus den Artikeln 12 ff. DSGVO führen zu neuen Risiken einer Haftung für datenverarbeitende Unternehmen. Bei nicht oder unvollständig erteilten Auskünften gegenüber den jeweiligen betroffenen Personen drohen nicht unerhebliche Konsequenzen. So stellt bereits eine nicht oder unvollständig bzw. verspätet erteilte Auskunft einen Verstoß gegen die DSGVO dar, welche bereits selbst zu einem Schadenersatzanspruch i. S. d. Artikel 82 DSGVO führen kann. Denklogisch stellt daher eine endgültig vollständig verweigerte Auskunft grundsätzlich einen Verstoß gegen das Auskunftsrecht dar. Hierbei ist jedoch zu beachten, dass, selbst wenn die verantwortliche Stelle keine personenbezogenen Daten der betroffenen Person verarbeitet, in jedem Falle eine sogenannte Negativauskunft erteilt werden muss, dass über die betroffene Person keine personenbezogenen Daten verarbeitet werden. Auch eine unterlassene Negativauskunft stellt eine Verletzung der DSGVO-Vorschriften dar.

Sollte die verantwortliche Stelle den etwaigen Anträgen der betroffenen Person nicht nachkommen, handelt es sich i. d. R. um einen datenschutzrechtlichen Verstoß nach Artikel 83 Abs. 5 b) DSGVO. Im Falle einer nicht erteilten, zu spät oder unvollständig erteilten Auskunft kann die betroffene Person eine Beschwerde i. S. d. Artikels 77 DSGVO bei der zuständigen Ordnungsbehörde einlegen. Diese kann im Falle eines festgestellten Verstoßes ein Bußgeld gegen die verantwortliche Stelle festsetzen. Hierbei ist auch darauf hinzuweisen, dass, sofern gegenüber der entsprechenden Landesdatenschutzbehörde keinerlei Antwort auf deren Aufforderungsschreiben ergeht, ebenfalls Zwangsgelder gegen das jeweilige Unternehmer festgesetzt werden können.

Eine Verweigerung ist jedoch in den vom Gesetz genannten Fällen erlaubt. Der in der Praxis wohl am häufigsten vorliegenden Fall dürfte dabei der offenkundig unbegründete oder exzessive Antrag i. S. d. Artikels 12 Abs. 5 S. 2 DSGVO sein. Hierbei trägt die verantwortliche Stelle die Beweislast für das Vorliegen solcher Ausschlussgründe.

Auch könnte sich nach einer erfolgten Auskunft ein Anspruch auf Schadenersatz i. S. d. Artikels 82 DSGVO für die betroffene Person ergeben, sofern eine rechtswidrige Verarbeitung von Daten festgestellt wird.

Die Auskunftserteilung selbst ist an keine bestimmte Form gebunden. Diese ist in einer transparenten, verständlichen und leicht zugänglichen Form zu erteilen. Das Auskunftsersuchen sollte zudem grundsätzlich in der Form erfolgen, in welcher auch die Auskunftsanfrage erfolgt ist. Obacht ist jedoch beispielsweise bei sensiblen Daten geboten, sodass hier eine Übermittlung mit einem Brief als der sicherere Weg scheint.

Sollte auch nach einem Beschwerdeverfahren und/oder einem eventuell folgenden Bußgeld immer noch keine Auskunft gegenüber der betroffenen Person erteilt sein, ist es ebenfalls möglich, zivilrechtlich die Ansprüche gegen die verantwortliche Stelle durchzusetzen. Die DSGVO räumt betroffenen Personen nach Artikel 79 DSGVO das Recht auf einen gerichtlichen Rechtsbehelf ein. So können Auskunftsansprüche vor dem jeweilig zuständigen Gericht geltend gemacht werden. Wie bereits im Vorigen dargestellt, löst die falsch erteilte Auskunft zudem Schadenersatzansprüche der betroffenen Person nach Artikel 82 Abs. 1 DSGVO aus. Hier nehmen Gerichte regelmäßig immaterielle Schäden aufgrund von Kontrollverlusten über den Umfang der Verarbeitung personenbezogener Daten an. Die Höhe des jeweiligen Schadenersatzes bemisst sich an verschiedenen Faktoren, wie Art, Schwere und Dauer des Verstoßes, der Grad des Verschuldens sowie die Maßnahmen zur Minderung. Auch der Umsatz des Unternehmens wird als Kriterium für die Bemessung herangezogen.

Es ist zu erwarten, dass die zu zahlenden Schadenersatzsummen sich in den nächsten Jahren erhöhen dürften.

Abschließend ist daher festzuhalten, dass ein datenschutzrechtliches Auskunftsgesuch von Ihnen in jedem Fall mit höchster Priorität innerhalb des Unternehmens gehandhabt werden sollte.

Selbst wenn keine Daten der betroffenen Person verarbeitet werden oder eine unberechtigte Auskunftsanfrage erfolgt, so muss eine Negativmitteilung oder eine Negativauskunft an die betroffene Person erfolgen. Andernfalls drohen empfindliche Bußgelder und weitere zivilrechtliche Konsequenzen.

Sollten Sie als Unternehmen von einem Auskunftsersuchen betroffen sein, raten wir Ihnen an unbedingt anwaltliche spezialisierte Hilfe in Anspruch zu nehmen. Wir beraten und vertreten Sie Sie hierbei bundesweit in jedem Stadium des Verfahrens. Rufen Sie uns gerne unter 02307/17062 an oder schreiben uns eine E-Mail an ra@kanzlei-heidicker.de.