Auch Kleinigkeiten sind zu beachten
Das Auskunftsrecht – auch Kleinigkeiten sind zu beachten
Das Auskunftsrecht nach Art. 15 DS-GVO bietet viel Raum für juristische Auslegung, wie die bisherigen Prozesse zeigen. Neben den großen juristischen Fragen insbesondere zur Datenkopie gibt es aber auch „Kleinigkeiten“, die zu beachten sind. Ihre Mißachtung kann zu Rechtsstreitigkeiten und/oder Beschwerden bei den Aufsichtsbehörden führen.
Nachfolgend daher einige Themen aus den Tätigkeitsberichten der Aufsichtsbehörden oder aus Urteilen der Instanzgerichte.
WIE GEHT ES LOS?
Der Ablaufplan
„Eingehende Auskunftsersuchen Betroffener werden nicht an die intern zuständige Stelle des verantwortlichen Unternehmens et cetera weitergeleitet“ (vgl. z.B. TB 2020 LfD Bremen, S. 47).
Machen Sie einen Ablaufplan und dokumentieren Sie diesen. Weiß jeder im Unternehmen, wie mit einem Auskunftsersuchten umzugehen ist bzw. wann ein Auskunftsersuchen vorliegt? Wer ist für die Bearbeitung federführend? Wer sind die beteiligten Personen oder Stellen?
ZU SPÄT GEANTWORTET?
Gesetzliche Frist beachten
Vermeiden Sie Beschwerden bei der Aufsichtsbehörde, weil die Frist nach Art. 12 Abs. 3 DS-GVO zur Bearbeitung nicht eingehalten wird.
Das Auskunftsersuchen muss unverzüglich an die Stelle/Person weitergeleitet werden, die für die Bearbeitung zuständig ist. Weiß jeder potenzielle Empfänger eines Auskunftsbegehrens im Unternehmen, wer für die Beantwortung zuständig ist? Insbesondere, wenn es z.B. mehrere Filialen gibt?
Notieren Sie Fristbeginn und Fristende. Überwachen Sie die laufende Frist. Machen Sie auch einen Vermerk über die fristgerechte Erledigung.
Die Rechtsprechung zu Schadensersatzansprüchen im Falle einer verspäteten Auskunft ist zu Zeit noch nicht einheitlich. So hat das LG Bonn in einem Urteil vom 01.07.21 einen Schadensersatzanspruch abgelehnt, das Landesarbeitsgericht Hamm im Urteil vom 11.05.2021 hingegen einen Schadensersatzanpruch in Höhe von 1000 € zu erkannt.
VOGEL STRAUSS HILFT NICH
Muss ich antworten?
Askunftsersuchen sollten immer umgehend und mit der notwendigen Sorgfalt bearbeitet werden. Der Auskunftsanspruch kann ohne Anlass und ohne Begründung geltend gemacht werden. Ebenso kann er jederzeit, d.h. auch nach Beendigung eines Vertrages oder eines Arbeitsverhältnisses, geltend gemacht werden.
Nehmen Sie eine sorgfältige Bearbeitung und Dokumentation der Bearbeitung vor. Etwaige nachfolgende Anfragen der Aufsichtsbehörde aufgrund einer Beschwerde können dann problemlos unter Vorlage entsprechender Dokumente beantwortet werden.
BIN ICH VERANTWORLICHER?
Wer muss die Auskunft geben?
Prüfen Sie ihre Verantwortlichkeit. Nicht bei jedem Sachverhalt ist der Empfänger des Auskunftsbegehrens auch der Verantwortliche, auch wenn es auf den ersten Blick so scheint. Nach Auffassung des sächs. LDA kann ein externer DSB, der vom Verantwortlichen benannt ist, selbst grundsätzlich auskunftspflichtig sein, wenn ein entsprechender Sachverhalt vorliegt, vgl. Tätigkeitsbericht 2020, S. 43 ff. Gleiches kann auch für andere externe Dienstleister gelten, die der Verantwortliche einsetzt.
WER WILL AUSKUNFT?
Identität der betroffenen Person
In den Tätigkeitsberichten tauchte des Öfteren auch der Punkt der „Identifizierung“ der betroffenen Person auf. Vereinfacht gilt: Bauen Sie keine künstlichen Hürden auf!
Selbstverständlich haben sich Verantwortliche Gewissheit über die Identität der anfragenden Person zu verschaffen. Erfragen Sie zum Abgleich weitere Daten bei der anfragenden Person, so muss sich diese Datenerhebung im Rahmen der Erforderlichkeit bewegen, sich also gemäß Art. 5 Abs. 1 lit. c DS-GVO „auf das für die Zwecke der Verarbeitung notwendige Maß beschränken“.
Das Anfordern von Ausweiskopien wird häufig zu weitgehend sein. Es stelle auch ein hohes Risiko für die betroffene Person dar, wenn die Kopie missbräuchlich verwendet oder Dritten bei der Übermittlung oder aufgrund einer Datenpanne zugänglich würde. Als zulässig angesehen wird z.B. neben dem Namen oder einer E-Mail-Adresse der Person noch die Abfrage eines weiteren Datums, vgl. (TB 2019 rlpLDI, S. 37). Es kann jedoch auch Fälle geben, in denen die Kopie eine Personalausweises erforderlich ist. Wie so häufig kommt es auf den Einzelfall an.
KANN ICH JEDEM DIE AUSKUNFT SCHICKEN?
Wer verlangt die Auskunft?
Auskunftsberechtigt ist die „betroffene Person“ der Datenverarbeitung. Diese kann sich aber auch durch Dritte vertreten lassen.
Dritte, wie z.B. ein Anwalt, müssen eine Originalvollmacht vorlegen. Fehlt diese, kann der Anspruch zurückgewiesen werden. Alternativ kann die Antwort direkt an die betroffene Person erfolgen, wenn deren Identität zweifelsfrei feststeht.
Sofern eine Auskunftserteilung mangels Vorlage einer Originalvollmacht nicht erfolgt, sollte der Verantwortliche fristgerecht auf die fehlende Bevollmächtigung des Rechtsanwalts hinweisen und so eine erneute Geltendmachung des Auskunftsrechts unter Vorlage einer ausreichenden Vollmacht ermöglichen, vgl. TB 2020 LDA Brandenburg, S. 50.
WIE DETAILLIERT MUSS DIE AUSKUNFT SEIN?
Inhalt der Auskunftspflicht
Vom LDA Brandenburg wurde festgestellt, dass Auskunftsersuchen betroffener Personen nicht, nicht rechtzeitig oder inhaltlich nicht ausreichend bearbeitet worden seien, vgl. TB 2020 LDA Brandenburg, S. 47.
Der Inhalt der Auskunftspflicht ergibt sich aus der Auflistung in Art. 15 Abs. 1 DS-GVO. Die inhaltlichen sind daher klar festgelegt.
Ob die konkreten Empfänger oder die Nennung der Kategorie von Empfängern ausreicht ist umstritten. Aufsichtsbehörden vertreten die Auffassung, dass die Empfänger konkret zu benennen seien, vgl. TB 2020 der Bln BD, S. 174, 175 und TB 2020 des bwLfDI, S. 100, 101. Aus Erwägungsgrund 63 wird gefolgert, dass nicht der Verantwortliche ein Auswahlermessen, sondern nur der Betroffene die Wahl habe, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehre. Die Auslegung der Frage ist jedoch noch nicht abschließend geklärt, da die Frage dem EuGH zur Klärung vorgelegt wurde.
ICH VERARBEITE KEINE DATEN – TATSÄCHLICH?
Negativauskunft und Auskunftsersuchen
Verarbeitet ein Verantwortlicher keine personenbezogene Daten der anfragenden Person, so hat er dennoch eine „Negativauskunft“ zu erteilen.
Für das Auskunftsersuchen und dessen Beanwortung werden personenbezogene Daten verarbeitet. Diese sind in der Antwort entsprechend zu berücksichtigen.
VORBEUGEN HILFT
Was jetzt?
SBei der Bearbeitung eines Auskunftsersuchens sind auch „Kleinigkeiten“ zu beachten, damit die Bearbeitung fehlerfrei erfolgt. Beschwerden oder Rechtsstreite wegen selbiger lassen sich so vermeiden.
Im Vorfeld von Auskunftsersuchen können
- der Ablaufplan geprüft werden.
- maßgeblich „betroffene Personen“(gruppen) lokalisiert werden. Sind alle nach Art. 15 Abs. 1 DS-GVO genannten Informationen vorhanden? Sollten Verarbeitungen in geringem Umfang stattfinden, bietet es sich an, „Muster“-Auskünfte zu erstellen.
- Sie einen Selbsttest machen! Erfinden Sie einen fiktives Auskunftsersuchen und beantworten es. Vergessen Sie nicht zu prüfen, ob auch eine Datenkopie möglich ist.
- Sie vergangene Auskunftsersuchen und deren Beantwortung analysieren. Machen Sie eine „Manöverkritik“. Hat alles nach Plan funktioniert oder gibt es Verbesserungsmöglichkeiten?
- festgestellte Verbesserungsmöglichkeiten in die schriftlichen Anweisungen/Richtlinien übernommen werden.
Sollten Sie Fragen zur Datenschutz-Compliance oder zum Auskunftsrecht haben, unterstützte ich Sie gern.
