Auskunftsrecht / Recht auf Auskunft
Das Auskunftsrecht gibt betroffenen Personen das Recht, bei der verantwortlichen Stelle zu erfahren, ob und gegebenenfalls welche personenbezogenen Daten gespeichert werden. Das Auskunftsrecht umfasst unter anderem folgende Informationen:
- Verwendungszweck der Daten
- Dauer der Datenspeicherung
- Herkunft der Daten
Verbraucher*innen müssen zudem darüber informiert werden, dass sie folgende Rechte haben:
- Recht auf Beschwerde
- Recht auf Berichtigung
- Recht auf Einschränkung
- Recht auf Löschung
- Recht auf Widerspruch
Auf Anfrage können betroffene Personen kostenlos eine Kopie der über sie gespeicherten Daten erhalten, wenn dadurch die Rechte anderer Personen nicht beeinträchtigt werden (weitere Kopien können kostenpflichtig sein). Falls personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, haben Verbraucher*innen das Recht, über die geeigneten Garantien im Zusammenhang mit der Übermittlung unterrichtet zu werden.
Unternehmen sind bei Auskunftsanfragen dazu gehalten, die Identität der Verbraucher*in zu überprüfen. So soll sichergestellt werden, dass nicht Auskunftsanträge für andere Personen eingereicht werden. Aber es gilt auch: Unternehmen sollen Daten nicht nur aus dem Grund speichern, um mögliche Auskunftsanfragen zu bearbeiten.
In Deutschland gelten durch das Bundesdatenschutzgesetz einige Ausnahmen: Bei einer Datenverarbeitung für Archivzwecke im öffentlichen Interesse sind die Verantwortlichen nicht zur Auskunft verpflichtet. Ebenso entfällt die Auskunftspflicht im Bereich der Forschung, wenn mit der Auskunft ein unverhältnismäßiger Aufwand verbunden wäre (siehe Forschungszwecke). Schließlich greift die Pflicht zur Auskunft dann nicht, wenn auch keine Informationspflicht besteht, wenn die Datenverarbeitung gesetzlich vorgeschrieben ist, wenn sie der Datensicherung dient, wenn eine Auskunftserteilung unverhältnismäßig aufwändig wäre oder wenn die Auskunft die Geheimhaltungspflicht verletzte.
Artikel 15 DSGVO (Auskunftsrecht der betroffenen Person)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Quelle: Verordnung (EU) 2016/679 (siehe auch Erwägungsgründe 63 und 64)
§ 27 Absatz 2 BDSG (Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken)
Die in den Artikeln 15, 16, 18 und 21 der Verordnung (EU) 679/2016 vorgesehenen Rechte der betroffenen Person sind insoweit beschränkt, als diese Rechte voraussichtlich die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich machen oder ernsthaft beinträchtigen [sic!] und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist.
Das Recht auf Auskunft gemäß Artikel 15 der Verordnung (EU) 679/2016 besteht darüber hinaus nicht, wenn die Daten für Zwecke der wissenschaftlichen Forschung erforderlich sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
Quelle: Bundesdatenschutzgesetz
§ 28 Absatz 2 BDSG (Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken)
Das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 der Verordnung (EU) 679/2016 besteht nicht, wenn das Archivgut nicht durch den Namen der Person erschlossen ist oder keine Angaben gemacht werden, die das Auffinden des betreffenden Archivguts mit vertretbarem Verwaltungsaufwand ermöglichen.
Quelle: Bundesdatenschutzgesetz
§ 29 BDSG (Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse im Fall von Geheimhaltungspflichten)
(1) Die Pflicht zur Information der betroffenen Person gemäß Artikel 14 Absatz 1 bis 4 der Verordnung (EU) 679/2016 besteht ergänzend zu den in Artikel 14 Absatz 5 der Verordnung (EU) 679/2016 genannten Ausnahmen nicht, soweit durch ihre Erfüllung Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.
Das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 der Verordnung (EU) 679/2016 besteht nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.
Die Pflicht zur Benachrichtigung gemäß Artikel 34 der Verordnung (EU) 679/2016 besteht ergänzend zu der in Artikel 34 Absatz 3 der Verordnung (EU) 679/2016 genannten Ausnahme nicht, soweit durch die Benachrichtigung Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.
Abweichend von der Ausnahme nach Satz 3 ist die betroffene Person nach Artikel 34 der Verordnung (EU) 679/2016 zu benachrichtigen, wenn die Interessen der betroffenen Person, insbesondere unter Berücksichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresse überwiegen.
(2) Werden Daten Dritter im Zuge der Aufnahme oder im Rahmen eines Mandatsverhältnisses an einen Berufsgeheimnisträger übermittelt, so besteht die Pflicht der übermittelnden Stelle zur Information der betroffenen Person gemäß Artikel 13 Absatz 3 der Verordnung (EU) 679/2016 nicht, sofern nicht das Interesse der betroffenen Person an der Informationserteilung überwiegt.
(3) Gegenüber den in § 203 Absatz 1, 2a und 3 des Strafgesetzbuchs genannten Personen oder deren Auftragsverarbeitern bestehen die Untersuchungsbefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 1 Buchstabe e und f der Verordnung (EU) 679/2016 nicht, soweit die Inanspruchnahme der Befugnisse zu einem Verstoß gegen die Geheimhaltungspflichten dieser Personen führen würde.
Erlangt eine Aufsichtsbehörde im Rahmen einer Untersuchung Kenntnis von Daten, die einer Geheimhaltungspflicht im Sinne des Satzes 1 unterliegen, gilt die Geheimhaltungspflicht auch für die Aufsichtsbehörde.
Quelle: Bundesdatenschutzgesetz
§ 34 BDSG (Auskunftsrecht der betroffenen Person)
(1) Das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 der Verordnung (EU) 679/2016 besteht ergänzend zu den in § 27 Absatz 2, § 28 Absatz 2 und § 29 Absatz 1 Satz 2 genannten Ausnahmen nicht, wenn
1. die betroffene Person nach § 33 Absatz 1 Nummer 1, 2 Buchstabe b oder Absatz 3 nicht zu informieren ist, oder
2. die Daten
a) nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder
b) ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen
und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.
(2) Die Gründe der Auskunftsverweigerung sind zu dokumentieren.
Die Ablehnung der Auskunftserteilung ist gegenüber der betroffenen Person zu begründen, soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde.
Die zum Zweck der Auskunftserteilung an die betroffene Person und zu deren Vorbereitung gespeicherten Daten dürfen nur für diesen Zweck sowie für Zwecke der Datenschutzkontrolle verarbeitet werden; für andere Zwecke ist die Verarbeitung nach Maßgabe des Artikels 18 der Verordnung (EU) 679/2016 einzuschränken.
(3) Wird der betroffenen Person durch eine öffentliche Stelle des Bundes keine Auskunft erteilt, so ist sie auf ihr Verlangen der oder dem Bundesbeauftragten zu erteilen, soweit nicht die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde.
Die Mitteilung der oder des Bundesbeauftragten an die betroffene Person über das Ergebnis der datenschutzrechtlichen Prüfung darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser nicht einer weitergehenden Auskunft zustimmt.
(4) Das Recht der betroffenen Person auf Auskunft über personenbezogene Daten, die durch eine öffentliche Stelle weder automatisiert verarbeitet noch nicht automatisiert verarbeitet und in einem Dateisystem gespeichert werden, besteht nur, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht.
Quelle: Bundesdatenschutzgesetz
