Auskunftsanfrage nach Art. 15 DSGVO: Pflichten des Unternehmens

Inhalt des Auskunftsanspruchs

Gemäß Art. 15 DSGVO hat jede betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, umfasst der Anspruch drei Bestandteile:

1. eine Kopie der personenbezogenen Daten (Art. 15 Abs. 3 DSGVO),
2. Informationen über die Verarbeitung, d. h. die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer, das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten, sofern sie nicht bei der betroffenen Person erhoben wurden, sowie gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung (Art. 15 Abs. 1 Buchst. a bis h DSGVO),
3. Angaben zu den geeigneten Garantien, wenn Daten an ein Drittland oder eine internationale Organisation übermittelt werden (Art. 15 Abs. 2 DSGVO).

Eine Begründung schuldet die betroffene Person nicht. Die Auskunft ist auch dann zu erteilen, wenn die Person sie in erster Linie zur Vorbereitung von Ansprüchen in einem anderen Rechtsstreit nutzen will. Dies hat der EuGH für die erste Kopie ausdrücklich entschieden (Urteil vom 26. Oktober 2023, C-307/22).

Frist zur Erteilung der Auskunft

Die Auskunft ist gemäß Art. 12 Abs. 3 DSGVO unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags zu erteilen. Maßgeblich ist der Eingang beim Unternehmen, nicht der Zeitpunkt, zu dem die Anfrage die zuständige Person erreicht. Eine E-Mail an eine allgemeine Adresse oder an den Vertrieb setzt die Frist ebenso in Gang wie ein Schreiben an die Geschäftsleitung (EDSA, Leitlinien 01/2022 zum Auskunftsrecht, Rn. 159).

Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. In diesem Fall hat das Unternehmen die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung zu unterrichten und die Gründe für die Verzögerung mitzuteilen. Nach Ablauf der Monatsfrist ist eine Verlängerung nicht mehr möglich.

1. Dokumentation des Eingangs und der Frist

Zunächst ist zu dokumentieren, wann und auf welchem Weg die Anfrage eingegangen ist. Zugleich ist das Fristende zu notieren. Es ist nicht erforderlich, die Vorschrift zu nennen. Formulierungen wie „Welche Daten haben Sie über mich gespeichert?“ genügen.

2. Prüfung der Identität nur bei begründeten Zweifeln

Das Unternehmen darf keine Daten an eine unberechtigte Person herausgeben. Es ist deshalb befugt, zusätzliche Informationen zur Bestätigung der Identität anzufordern, allerdings nur, wenn begründete Zweifel an der Identität bestehen (Art. 12 Abs. 6 DSGVO). Wenn ein Kunde von der E-Mail-Adresse schreibt, die seit Jahren in seinem Kundenkonto hinterlegt ist, besteht dafür in der Regel kein Anlass.

Die pauschale Anforderung einer Ausweiskopie ist deshalb nicht erforderlich. Verlangt ein Unternehmen sie dennoch bei jeder Anfrage, erhebt es selbst neue Daten und verzögert die Antwort. Nach Auffassung des EDSA ruht die Frist nur dann bis zum Eingang zusätzlicher Informationen, wenn das Unternehmen diese wegen Unsicherheit über die Identität unverzüglich angefordert hat (Leitlinien 01/2022 zum Auskunftsrecht, Rn. 159). Eine pauschale Anforderung ohne begründete Zweifel hält die Frist folglich nicht an. Zur Erforderlichkeit von Ausweiskopien in anderen Fällen siehe den Beitrag Ausweis- und Führerscheinkopien.

3. Suche nach den Daten

Die Suche verursacht den größten Aufwand. Personenbezogene Daten sind selten ausschließlich im Kundenverwaltungssystem zu finden. Ebenso müssen E-Mail-Postfächer, die Buchhaltung, Personalakten, das Ticketsystem, die Telefonanlage, Dateiablagen und Messenger durchsucht werden. Ein aktuelles Verzeichnis der Verarbeitungstätigkeiten zeigt, wo gesucht werden muss.

Auch Daten bei Dienstleistern sind einzubeziehen. Ein Auftragsverarbeiter, der Daten im Auftrag des Unternehmens verarbeitet, ist verpflichtet, das Unternehmen nach Möglichkeit bei der Erfüllung des Auskunftsanspruchs zu unterstützen (Art. 28 Abs. 3 Buchst. e DSGVO). Der Auftragsverarbeitungsvertrag sollte regeln, innerhalb welcher Frist dies geschieht.

4. Kopie der Daten und Rechte Dritter

Die Kopie muss eine originalgetreue und verständliche Reproduktion aller personenbezogenen Daten sein. Dazu können auch Auszüge aus Dokumenten, ganze Dokumente oder Auszüge aus Datenbanken gehören, sofern dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung ihrer Rechte zu ermöglichen (EuGH, Urteil vom 4. Mai 2023, C-487/21). Eine bloße Zusammenfassung in Tabellenform genügt daher nicht in jedem Fall.

Die erste Kopie ist unentgeltlich zur Verfügung zu stellen. Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Namen von Kollegen, Kunden oder Hinweisgebern in E-Mails sind daher zu schwärzen, wenn deren Interesse überwiegt. Dies rechtfertigt Schwärzungen, jedoch keine vollständige Verweigerung der Kopie. Die Anwendung dieser Grundsätze durch das Bundesarbeitsgericht auf einen Compliance-Bericht ist Gegenstand des Beitrags zu den Urteilen des BAG und des OLG Stuttgart zum Auskunftsanspruch.

5. Benennung der Empfänger

In der Regel genügt es nicht, die Empfänger nur mit Kategorien wie „IT-Dienstleister“ oder „Steuerberater“ zu benennen. Grundsätzlich kann die betroffene Person verlangen, dass ihr die konkreten Empfänger mitgeteilt werden, gegenüber denen ihre Daten offengelegt wurden. Ausgenommen sind lediglich die Fälle, in denen die Empfänger nicht identifiziert werden können oder der Antrag offenkundig unbegründet oder exzessiv ist (EuGH, Urteil vom 12. Januar 2023, C-154/21).

6. Erteilung und Dokumentation der Auskunft

Die Auskunft ist in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu erteilen (Art. 12 Abs. 1 DSGVO) und auf einem sicheren Weg zu übermitteln. Wurde der Antrag elektronisch gestellt, sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern die betroffene Person nichts anderes angibt (Art. 15 Abs. 3 DSGVO). Gesundheits- oder Personaldaten dürfen grundsätzlich nicht als unverschlüsselter Anhang einer gewöhnlichen E-Mail versendet werden.

Es ist zu dokumentieren, welche Systeme durchsucht wurden, welche Daten herausgegeben und welche aus welchem Grund geschwärzt wurden und wann die Antwort versandt wurde. Kommt es später zum Streit, belegt diese Dokumentation die sorgfältige Bearbeitung.

Typische Fehler

• Das Unternehmen beginnt die Frist erst zu zählen, wenn die Anfrage die zuständige Stelle erreicht hat. Sie beginnt jedoch mit dem Eingang der Anfrage beim Unternehmen.
• Das Unternehmen verlangt eine Begründung oder prüft die Motive der Person, obwohl beides nicht erforderlich ist.
• Das Unternehmen fordert pauschal eine Ausweiskopie an.
• Statt einer Kopie erhält die Person lediglich eine allgemeine Beschreibung der Verarbeitung.
• Die Empfänger werden lediglich als Kategorien genannt.
• Daten bei Dienstleistern und in E-Mail-Postfächern bleiben unberücksichtigt.
• Entweder werden Daten Dritter ungeschwärzt herausgegeben oder die Kopie wird wegen Daten Dritter vollständig verweigert.

Rechtsfolgen von Verstößen

Verstöße gegen die Rechte der betroffenen Person können gemäß Art. 83 Abs. 5 Buchst. b DSGVO mit Geldbußen geahndet werden. In der Praxis treten jedoch zwei andere Folgen häufiger auf: eine Beschwerde bei der Aufsichtsbehörde, die daraufhin ihrerseits Auskünfte vom Unternehmen verlangt, sowie Schadensersatzforderungen nach Art. 82 DSGVO. Insbesondere in arbeitsrechtlichen Auseinandersetzungen kann eine verspätete oder lückenhafte Auskunft somit zu einem zusätzlichen Streitpunkt werden. Welche Voraussetzungen die Aufsichtsbehörde für eine Verwarnung oder die Verhängung eines Bußgelds bei einer versäumten Auskunft verlangt, erläutert der Beitrag Bußgeld oder Verwarnung.

In meiner Praxis kommen Auskunftsanfragen häufig vor, ebenso Gerichtsverfahren, die sich an sie anschließen. Ich bin dabei sowohl für Personen tätig, die Auskunft verlangen, als auch für Unternehmen, die zur Auskunft verpflichtet sind.

Vorbereitung im Unternehmen

Wie bei einer Datenpanne entsteht Zeitdruck vor allem durch fehlende Vorbereitung. Drei Vorkehrungen können hier Abhilfe schaffen: eine feste Zuständigkeit, an die jede Anfrage unverzüglich weitergeleitet wird, eine Übersicht der Systeme, in denen personenbezogene Daten gespeichert sind, sowie eine Vorlage für die Auskunft mit allen Pflichtangaben nach Art. 15 Abs. 1 DSGVO.