Source: http://www2.argedaten.at/php/cms_monitor.php?q=PUB-TEXT-ARGEDATEN&s=25302iob
Timestamp: 2017-01-22 08:00:41+00:00

Document:
Übersicht Auskunftsrecht nach dem Datenschutzgesetz
§ 1 DSG 2000 normiert sehr allgemein Auskunftsanspruch - § 26 DSG 2000 regelt die organisatorisch-technische Durchführung - Auch wenn keine Berufung auf DSG 2000 erfolgt liegt Auskunftsanspruch vor - Acht-Wochenfrist für Auskunftserteilung nur Obergrenze, Branchen oder einzelne Orgnisationen könnten im Rahmen eines freiwilligen 'Code of Conduct' kürzere Fristen festlegen - Auch Erweiterungen des Auskunftsverfahrens denkbar
Das Auskunftsrecht als eines der Betroffenenrechte im Datenschutzbereich hat aus mehreren Gründen zentrale Bedeutung. Nur wenn Betroffene die Möglichkeit haben, sich einen Überblick über die sie betreffenden Datenströme zu verschaffen, können Sie das grundlegende Recht auf informationelle Selbstbestimmung wahrnehmen. Möglichst vollständige Informationen über die von einem Auftraggeber tatsächlich verwendeten Daten, deren Herkunft und die Empfänger von Übermittlungen bilden die unverzichtbare Basis für die Wahrnehmung aller weiteren Rechte wie z.B. Löschung oder Richtigstellung von Daten, Widerspruch usw.
Das Auskunftsrecht nach dem DSG 2000 kann als erster Schritt zu einem umfassenden Informationsfreiheitsrecht angesehen werden.
Das Auskunftsrecht ist auf mehreren Ebenen der Rechtsordnung geregelt und insofern mehrfach abgesichert. Auf europäischer Ebene findet sich die entsprechende Regelung in Art. 12 der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG - EU-DSRL). Diese Richtlinie verpflichtet alle Mitgliedsstaaten entsprechende Regelungen in nationalen Gesetzen vorzusehen.
In Österreich ist das Auskunftsrecht im Datenschutzgesetz (DSG 2000) geregelt. § 1 Abs 3 DSG 2000 enthält das Grundrecht auf Datenschutz. Diese Bestimmung steht im Verfassungsrang und ist somit als besonders schutzwürdig anerkannt. Allerdings sind diese Grundrechte mit einem so genannten Ausführungsvorbehalt versehen, d.h. die Details für die Geltendmachung des Auskunftsrechts werden durch einfachgesetzliche Bestimmungen festgelegt. Im Fall des Rechts auf Auskunft ist die entsprechende Bestimmung der § 26 DSG 2000, der das Auskunftsrecht regelt. Trotz des Ausführungsvorbehalts können allerdings auf einfachgesetzlicher Ebene keine Regelungen eingeführt werden, die den Umfang des Grundrechts beschneiden; solche Regelungen wären verfassungswidrig.
Die Bestimmungen des DSG 2000 geben den allgemeinen Rahmen für das Auskunftsrecht vor. In Spezialgesetzen können besondere Vorschriften für die Erteilung von Auskünften vorgesehen werden. Ein Beispiel für eine solche Regelung ist der § 8 Abs 5 BilDokG, der die Vorgangsweise für die Auskunftserteilung aus der Bildungsevidenz regelt. Auch bei solchen speziellen Regelungen ist allerdings der vom Grundrecht vorgegebene Rahmen einzuhalten (vgl. GZ K210.481).
Nach der Verfassungsbestimmung des § 1 DSG 2000 hat jedermann das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. Eine Auskunft kann natürlich nur erteilt werden, wenn tatsächlich Daten des Betroffenen (vgl. § 4 Z 3 DSG 2000) verwendet werden. Andernfalls ist der Anfragende darüber zu informieren, dass keine Daten vorliegen.
Der Adressat eines Auskunftsbegehrens ist grundsätzlich der Auftraggeber (vgl. § 4 Z 4 DSG 2000) also jene natürliche oder juristische Person, die für die Verwendung von personenbezogenen Daten verantwortlich ist. Der Auftraggeber hat auch die Pflicht entsprechende technische und organisatorische Vorkehrungen zu treffen, die es ihm ermöglichen, seinen Pflichten gegenüber dem Betroffenen nachzukommen (vgl. § 14 DSG 2000 bzw. EG46 zur EU-DSRL).
Auskunftsbegehren, die sich auf Informationsverbundsysteme (vgl. § 4 Z 13 DSG 2000) beziehen, können außer an die einzelnen Auftraggeber auch an den Betreiber des Informationsverbundsystems gerichtet werden, der innerhalb von 12 Wochen alle Informationen bekannt zu geben hat, die notwendig sind, um den eigentlichen Auftraggeber feststellen zu können.
Aufgrund spezieller gesetzlicher Regelungen können auch andere Stellen für die Erteilung einer Auskunft zuständig sein (vgl. z.B. § 8 Abs 5 BilDokG).
Voraussetzungen für die Erteilung einer Auskunft
Der § 26 DSG 2000 sieht eine Reihe von Voraussetzungen für die Erteilung einer Auskunft vor:
- Grundsätzlich müssen Auskunftsbegehren schriftlich gestellt werden. Eine mündliches Begehren ist nur dann zulässig, wenn der Auftraggeber zustimmt. Aus Beweisgründen sollten Auskunftsbegehren allerdings immer schriftlich gestellt werden. Für eine eventuell notwendige Beschwerde sollte der Versand möglichst vollständig dokumentiert werden (z.B. Einschreiben mit Rückschein, Faxsendebestätigung) (K120.749/006-DSK/2003)
- Der Betroffene, der ein Auskunftsbegehren an einen Auftraggeber richtet, muss seine Identität in geeigneter Form nachweisen. Dies soll verhindern, dass über den Weg eines Auskunftsbegehrens personenbezogene Daten in die Hände Unbefugter gelangen können. Die Frage, wie ein geeigneter Identitätsnachweis aussehen soll ist allerdings strittig. Von der Datenschutzkommission (seit 1. Jänner 2014 Datenschutzbehörde) wird z.B. die Kopie eines amtlichen Ausweises mit Unterschrift als ausreichend anerkannt. In den meisten Fällen werden Ausweiskopie oder Meldezettel als unbedenklicher Identitätsnachweis anerkannt
- Gegenüber Auftraggebern, mit denen keine vertragliche Beziehungen bestehen, erscheint dies allerdings als fraglich. Da in einem solchen Fall keine Vergleichsunterschriften oder Ähnliches vorhanden sind, kann so die Identität nicht überprüft werden. Momentan ist eine Beschwerde beim VwGH anhängig, die diese Frage klären soll (VwGH Zl. 2004/06/0221-4)
Fall: Unvollständige Angaben des Betroffenen bezüglich seiner Adresse begründen keinen Anspruch auf Auskunft. Eine Pflicht des Auftraggebers Nachforschungen über den Wohnort des Auskunftswerbers anzustellen, besteht nicht (120.915/0007-DSK/2004)
- Nicht zulässig sind zusätzliche Voraussetzungen für die Erteilung einer Auskunft, die vom Auftraggeber aufgestellt werden und die Auskunft für den Betroffenen erschweren sollen.
- Nach § 26 Abs 3 ist der Anfragende zur Mitwirkung im Auskunftsverfahren verpflichtet, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden. Eine solche Mitwirkung kann z.B. darin bestehen, dass eine bestimmte Datenanwendung angegeben wird, in der Daten vermutet werden oder in der Angabe in welcher Eigenschaft (z.B. als Kunde) die Auskunft verlangt wird (120.970/0002-DSK/2005)
- Wenn ein Kostenersatz vorgesehen ist, muss dieser geleistet werden, bevor die Auskunft erteilt wird. Die Auskunft ist allerdings unentgeltlich zu erteilen, wenn der aktuelle Datenbestand betroffen ist und wenn im laufenden Jahr noch kein Auskunftsbegehren gestellt wurde. Der aktuelle Datenbestand bezieht sich dabei auf alle Daten, auf die im laufenden Betrieb zugegriffen werden kann. Nicht unter den aktuellen Datenbestand würden demnach z.B. archivierte Daten fallen. Sonst kann ein pauschalierter Kostenersatz von momentan 18,89 EUR verlangt werden, von dem allerdings abgewichen werden kann, wenn tatsächlich höhere Kosten anfallen.
Fall: Die unentgeltliche Bearbeitung von Auskunftsbegehren ist trotz der gesetzlichen Vorschriften nicht selbstverständlich. In einem Fall wurden ein Betroffener von einem großen Mobilfunkbetreiber an eine Mehrwertnummer verwiesen, unter der er angeblich Auskunft erhalten würde. In einer Stellungnahme gab das Unternehmen später an, dass es sich dabei um ein Versehen gehandelt habe und die Auskunft kostenlos wäre.
Eine Auskunft ist innerhalb von acht Wochen nach Einlangen beim Auftraggeber zu erteilen bzw. es ist innerhalb dieser Frist zu begründen, warum keine Auskunft erteilt wird. Wenn innerhalb dieser Frist (evtl. inkl. Postlauf) keinerlei Reaktion auf das Auskunftsbegehren erfolgt, liegt jedenfalls eine Verletzung des Auskunftsrechts vor. In den meisten Fällen weist die Datenschutzkommission allerdings Beschwerden zurück, wenn eine Auskunft nur zu spät erfolgte bzw. weigert sich entsprechende Feststellungen im Bescheid zu treffen, weil der Betroffene nach erfolgter Auskunftserteilung nicht mehr beschwert sei (K120.858/009-DSK/2003, K120.961/0002-DSK/2005, K120.844/0005-DSK/2004)
- Schutz des Betroffenen: Wenn die Auskunft über bestimmte Daten aus besonderen Gründen dem Betroffenen zum Nachteil gereichen könnte, kann eine Auskunft verweigert werden. In der Praxis dürfte dies wohl nur in wenigen Fällen vorkommen. Ein denkbares Beispiel wäre die Auskunft über medizinische Tatsachen, die für den Betroffenen eine Belastung darstellen könnten. Von der ARGE DATEN wird diese Bestimmung sehr kritisch beurteilt, da sie die Informationsfreiheit einschränkt und allzuleicht als Vorwand zur Verweigerung von Informationsansprüchen missbraucht werden kann.
- Überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere überwiegende öffentliche Interessen: Die Verweigerung einer Auskunft aufgrund öffentlicher Interessen ist vor allem in fünf Fällen, die im § 26 DSG 2000 angeführt sind, denkbar:
1. Schutz der verfassungsmäßigen Einrichtungen Österreichs
2. Sicherung der Einsatzbereitschaft des Bundesheeres
3. Sicherung der Interessen der umfassenden Landesverteidigung
4. Schutz wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union
5. Vorbeugung, Verhinderung oder Verfolgung von Straftaten
Eine Verweigerung der Auskunft aufgrund von Interessen des Auftraggebers oder Dritter ist nur nach einer umfassenden Interessensabwägung zulässig, wobei dabei dem auch verfassungsmäßig abgesicherten Recht auf Auskunft besonderes Gewicht beizumessen ist.
- Indirekt personenbezogene Daten: Nach § 29 DSG 2000 können die Betroffenenrechte nicht gegenüber Auftraggebern geltend gemacht werden, die nur indirekt personenbezogene Daten verwenden. Dies ergibt sich allerdings schon aus der Natur der indirekt personenbezogenen Daten, bei denen für einen Auftraggeber keine Möglichkeit besteht, diese Daten einer bestimmten Person zuzuordnen. Zu beachten ist allerdings, dass das Recht auf Geheimhaltung grundsätzlich auch für indirekt personenbezogene Daten gilt.
Der Umfang des Auskunftsrechts
Nach der Auffassung der DSK (seit 1. Jänner 2014 Datenschutzbehörde) hat eine Auskunft gegenüber einem Betroffenen die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenanwendung sowie die Rechtsgrundlagen hierfür in allgemein verständlicher Form anzuführen.
Auskunft in allgemein verständlicher Form heißt dabei, dass einerseits nicht nur die Art oder Kategorie von Daten bekannt gegeben werden muss, sondern der tatsächliche Inhalt der gespeicherten Daten.
Fall: Die Angabe, dass Name und Geburtsdatum gespeichert seien, ist keine ausreichende Auskunft, wenn die tatsächlichen Eintragungen nicht angegeben werden (K120.732/003-DSK/2002).
Fall: Auf Anfrage eines Arztes informierte die Ärztekammer lediglich über die gesetzliche Grundlage für die Verwendung von Daten. Eine Auskunft über die konkreten Daten erfolgte erst nach Aufforderung durch die Datenschutzkommission (K120.818/002-DSK/2003).
Wenn Kurzbegriffe, Zahlen, Codes oder ähnliches verwendet werden, so ist in der Auskunft zu erläutern, wofür diese Codes stehen bzw. wie Sie zu interpretieren sind.
Fall: Auch ein Code, der bedeutet, dass keine Daten vorhanden sind, muss gegenüber dem Betroffenen natürlich erläutert werden (K120.795/002-DSK/2002).
Sehr strittig im Zusammenhang mit der Frage, welche Informationen bekannt gegeben werden müssen, damit Codes verständlich sind, ist oft die Notwendigkeit der Bekanntgabe der Berechnungsmethode. Viele Unternehmen weigern sich z.B. Ratingwerte oder ähnliche Daten näher zu erläutern. Damit wird die Auskunft für den Betroffenen allerdings in vielen Fällen nutzlos, weil nicht nachvollzogen werden kann, welche Schlussfolgerungen Dritte aus solchen Daten tatsächlich ziehen könnten. Auch eventuelle Fehler bzw. Fehlinterpretationen lassen sich so nicht aufklären. Die Datenschutzkommission ist diesbezüglich sehr zurückhaltend und stellt sich eher auf die Seite der Unternehmen.
Fall: Die Angabe "588" als Auskunft über gespeicherte Bonitätsinformationen wurde von der DSK z.B. als Eintrag mit beschränktem Erklärungswert bezeichnet, eine entsprechende Beschwerde wurde jedoch abgewiesen (K120.858/009-DSK/2003).
Die Auskunft muss schriftlich erteilt werden, mit Zustimmung des Betroffenen ist mündliche Auskunftserteilung mit der Möglichkeit der Einsichtnahme möglich.
Fall: Eine Auskunftserteilung über eine Hotline (die noch dazu gebührenpflichtig ist) ist nicht zulässig.
Fall: Ein Auskunftsbegehren, das im Namen eines Betroffenen gestellt wurde, umfasst nicht Auskünfte zu einer KEG, bei der der Betroffene Gesellschafter ist (K120.938/0003-DSK/2004).
Fall: Die Vorlage der Auskunft eines anderen Auftraggebers kann nicht die eigene Auskunft ersetzen (K120.960/0002-DSK/2005).
Die Auskunft eines Auftraggebers muss nach dem Gesetzeswortlaut auch allfällige Empfänger oder Empfängerkreise umfassen. Die Bekanntgabe der Übermittlungsempfänger ist eine Grundlage des Rechts auf informationelle Selbstbestimmung, weil nur so Datenströme, die sich auf eine Person beziehen, nachverfolgt und von dieser Person kontrolliert werden können.
Von vielen Auftraggebern wird immer wieder argumentiert, dass überwiegende Interessen der Übermittlungsempfänger der Bekanntgabe entgegenstehen würden.
Fall: keine Bekanntgabe der Übermittlungsempfänger wegen überwiegender Interessen Dritter (K120.896/0018-DSK/2004).
Fall: Herold weigert sich Käufer der Herold CD bekannt zu geben, Bescheid der DSK: Interessen Dritter können lt. DSK sowohl nach der RL als auch nach DSG auch Interessen juristischer Personen sein (K120.990/0001-DSK/2005). Diese Position ist nach Ansicht der ARGE DATEN nicht zu halten. Schon allein die Überschrift der Datenschutz-Richtlinie stellt klar, dass nur natürliche Personen unter die Datenschutzbestimmungen fallen ("... Schutz natürlicher Personen").
Die DSK geht davon aus, dass Übermittlungsempfänger nur dann beauskunftet werden müssen, wenn sonst die anderen Betroffenenrechte nicht durchsetzbar wären. Tatsächlich sind eine Reihe von Konstellationen vorstellbar, in denen der Empfänger bekannt sein muss (z.B. Untersagung der Verwendung gegenüber einzelnen Empfängern, nicht allen). Außerdem ist das Auskunftsrecht als eigenständiger Anspruch zu sehen, der unabhängig von anderen Betroffenenrechten besteht (K120.970/0002-DSK/2005).
Bei sinnvoller Interpretation der Bestimmung des § 26 DSG 2000, die eine fast wörtliche Umsetzung des Art. 12 der Richtlinie ist, ist davon auszugehen, dass sich die Möglichkeit der Beauskunftung von Empfängerkreisen vor allem auf jene Situationen bezieht, in denen (noch) keine Übermittlung statt gefunden hat und deshalb rein faktisch keine konkreten Empfänger bekannt gegeben werden können. Dem entspricht auch die Verpflichtung zur Bekanntgabe von Empfängerkreisen bei der Registrierung einer Datenanwendung.
Sind allerdings konkrete Übermittlungen erfolgt, sind die Empfänger bekannt zu geben. Ausnahmen davon wären nur in ganz speziellen Fällen (z.B. Schikaneverbot) zulässig. Ob eine Grundlage für die Geltendmachung von anderen Betroffenenrechten vorliegt ist im Zusammenhang mit dem Auskunftsrecht nicht zu prüfen, weil dessen Geltendmachung nicht von den anderen Betroffenenrechten abhängen kann.
Fall: Bei Bonitätsauskünften muss beauskunftet werden, woher die Daten stammen, weil ein besonderes Interesse des Betroffenen besteht seine Betroffenenrechte sowohl bei der Quelle als auch bei den Empfängern der Daten geltend zu machen. Eine Verletzung der Geheimhaltungsinteressen der Übermittlungsempfänger ist grundsätzlich nicht anzunehmen (K120.981/0002-DSK/2005).
Die Frage der Bekanntgabe der Übermittlungsempfänger ist zur Zeit heftig umstritten. In einem Fall, indem die DSK den Auftraggeber zur Auskunft der Übermittlungsempfänger verpflichtete, wurde gegen den Bescheid der DSK vom betroffenen Wirtschaftsauskunftsdienst eine Beschwerde beim VwGH eingebracht, während die ARGE DATEN in einem anderen Fall, in dem auch die DSK die Bekanntgabe der Übermittlungsempfänger ablehnte eine Beschwerde beim VfGH eingebracht wurde. Beide Verfahren sind noch anhängig.
Nach dem Wortlaut des § 26 DSG 2000 ist nur über die verfügbaren Daten Auskunft zu erteilen. Eine andere Regelung ist offensichtlich auch gar nicht möglich. Fraglich ist allerdings welche Daten tatsächlich verfügbar gehalten werden müssen. Die DSK verneint mit Verweis auf § 14 Abs 3 DSG 2000 eine Pflicht zur Protokollierung von Daten zu Übermittlungen (K120.970/0002-DSK/2005).
In der Datenschutz-RL sieht der Erwägungsgrund 46 allerdings vor, dass vom Auftraggeber angemessene technische und organisatorische Vorkehrungen zum Schutz der Rechte der Betroffenen vorzusehen sind. Dies ist wohl so zu verstehen, dass zumindestens grundsätzlich die Herkunft von Daten in einer Weise zu protokollieren ist, die auch eine Auskunftserteilung an die Betroffenen ermöglicht.
Fall: Bei Bonitätsauskünften muss beauskunftet werden, woher die Daten stammen, weil ein besonderes Interesse des Betroffenen besteht seine Betroffenenrechte sowohl bei der Quelle als auch bei den Empfängern der Daten geltend zu machen (K120.981/0002-DSK/2005).
Fall: Bezüglich der Verwendung von Bonitätsdaten genügt die Auskunft, dass Bonitätsdaten laut den Allgemeinen Geschäftsbedingungen genützt würden und eine Überprüfung der Bonität durch Anfragen bei behördlich befugten Kreditschutzverbänden, Kreditinstituten und Auskunfteien erfolgt, nicht den Anforderungen des DSG 2000. Es ist diesbezüglich vielmehr die Herkunft der Daten in hinlänglich konkreter Form zu beauskunften, so dass der Betroffene seine Berichtigungs- und Löschungsansprüche gegenüber der Quelle der Daten durchsetzen kann (K120.748/022-DSK/2001).
Zur Durchsetzung des Rechts auf Auskunft ist nach § 31 DSG 2000 eine Beschwerde bei der Datenschutzkommission vorgesehen. Im Gegensatz zur Rechtslage vor dem DSG 2000 betrifft dies nun sowohl den privaten als auch den öffentlichen Bereich.
Der Vorteil einer Beschwerde bei der Datenschutzkommission ist, dass diese kostenfrei und ohne die Vertretung durch einen Anwalt eingebracht werden kann. Die Datenschutzkommission führt dann ein Ermittlungsverfahren durch und erlässt schlussendlich einen Bescheid, der gegebenenfalls exekutiert werden kann.
Fall: Probleme bei Exekution eines DSK-Bescheids, weil zuständige BH nicht tätig wurde (K120.820/010-DSK/2002).
Da die Datenschutzkommission unabhängig als weisungsfreie kollegiale Verwaltungsbehörde konstruiert ist, sind gegen die Bescheide der DSK keine Rechtsmittel möglich. Es kann aber eine Beschwerde beim Verwaltungsgerichtshof oder beim Verfassungsgerichtshof eingebracht werden.
In der Praxis ergibt sich bei Beschwerden an die Datenschutzkommission dadurch ein Problem, dass die entsprechenden Verfahren sehr lange dauern und sich über Monate oder sogar Jahre hinziehen können. So dauerte es in fast drei Viertel der von der ARGE DATEN betreuten Fälle bis zur Entscheidung durch die Datenschutzkommission länger als sechs Monate.
Nach § 73 AVG wäre die Datenschutzkommission verpflichtet entsprechende Bescheide ohne unnötigen Aufschub und spätestens innerhalb von sechs Monaten zu erlassen. Nach der Überschreitung der Sechs-Monatsfrist kann eine Säumnisbeschwerde beim Verwaltungsgerichtshof eingebracht werden. Solche Beschwerden wurden von der ARGE DATEN bereits in mehreren Verfahren eingebracht und führten in der Regel zu einer wesentlichen Beschleunigung der Beschwerdeverfahren.
Gerade durch die besondere Bedeutung, die dem Auskunftsrecht für die Durchsetzung der informationellen Selbstbestimmung und aller anderen Betroffenenrechte zukommt, wirken sich die langen Verfahrensdauern besonders negativ aus, weil so eine rasche und zeitgerechte Reaktion der Betroffenen auf Datenschutzverletzungen praktisch unmöglich gemacht wird.
Besonders wichtig für die Durchsetzung des Auskunftsrechts ist das in § 26 Abs 7 DSG 2000 vorgesehene Löschungsverbot, das verhindern soll, dass Daten gelöscht werden, um keine Auskunft geben zu müssen. So darf ein Auftraggeber, sobald er Kenntnis von einem Auskunftsbegehren eines Betroffenen hat, die entsprechenden Daten für mindestens vier Monate nicht löschen. Bei Einleitung eines Verfahrens vor der Datenschutzkommission verlängert sich diese Frist bis zum rechtskräftigen Abschluss des Verfahrens. Zuwiderhandlungen gegen das Löschungsverbot können nach § 53 Abs 1 DSG 2000 mit einer Verwaltungsstrafe von bis zu EUR 18.890 bestraft werden. Darüber hinaus wäre ein Auftraggeber, der rechtswidrig Daten löscht, auch gegenüber dem Betroffenen schadenersatzpflichtig.
Auch bezüglich der Durchsetzung des Auskunftsrechts stellt das Bildungsdokumentationsgesetz wiederum einen Sonderfall dar. Durch den ausdrücklichen Verweis auf § 30 DSG 2000 werden die Betroffenen von der Möglichkeit einer Beschwerde abgeschnitten. Zwar können Mängel bezüglich der Auskunftserteilung der DSK angezeigt werden, allerdings liegt es im Ermessen der Kommission entsprechende Maßnahmen zu setzen. Der Einschreiter(in diesem Fall der Betroffene, der eine Auskunft verlangte) hat lediglich ein Recht darauf, informiert zu werden, wie mit seiner Beschwerde verfahren wurde.
Fall: In der Praxis ergeben sich Probleme dadurch, dass die Verantwortung für die Auskunft auf die einzelnen Schulen abgewälzt wird. Diese sind oft mit sehr knappen Ressourcen ausgestattet und im Hinblick auf die Rechtslage schlecht informiert.
Ein praktisches Problem bei der Einschätzung der Vollständigkeit einer Auskunft besteht darin, dass Betroffene in der Regel nicht beweisen können, dass Abweichungen zwischen tatsächlichen Daten und beauskunfteten Daten bestehen. Dies ist meist nur dann möglich, wenn der Betroffene aus anderen Quellen Informationen über die Daten erhält, die bei einem bestimmten Auftraggeber verwendet werden.
Fall: Ein Betroffener erhält von einem Bekannten Ausdrucke der Auskunft einer Wirtschaftsauskunftei an Dritte diese enthält Daten, die nicht in der Auskunft gemäß DSG 2000 enthalten waren.
Auskunft von Auftraggebern im Ausland
Durch die EU-Datenschutzrichtlinie wurde versucht eine EU-weite Harmonisierung der Datenschutzgesetzgebung zu erreichen. Es ist demnach davon auszugehen, dass in allen Mitgliedsstaaten der Europäischen Union ein Auskunftsrecht gesetzlich vorgesehen ist. Die Regelung von Details wie z.B. Fristen wurde von der Richtlinie allerdings den Mitgliedsstaaten überlassen.
Besonders im Hinblick auf die Möglichkeiten zur Rechtsdurchsetzung ist in den verschiedenen Ländern von unterschiedlichen Voraussetzungen auszugehen.
Fall: Bei einem Auskunftsbegehren an einen Mobilfunkbetreiber in Deutschland erfolgte zunächst keine Antwort. Im Hinblick auf eine eventuelle Beschwerde ist in Deutschland auf die komplizierte Kompetenzverteilung zwischen den Ländern und dem Bund Rücksicht zu nehmen.
Fall: Die Durchsetzung von Auskunftsansprüchen gegenüber einem internationalen Konzern mit Firmensitz in der Schweiz müsste allenfalls vor Gericht erfolgen. Allerdings ist für Datenschutzangelegenheiten in der Schweiz ein verkürztes Verfahren vorgesehen.
Fall: Speicherung von Daten beim KSV aufgrund eines Auskunftsbegehrens: Der KSV teilte mit, dass die Daten eines Betroffenen aufgrund der Anfrage selbst gespeichert werden. Dies ist grundsätzlich zulässig, allerdings darf die Speicherung nicht in einer Datenanwendung wie z.B. der Warnliste oder Kreditevidenz erfolgen, weil sonst ein falsches Bild entstehen könnte.
Alle bisher besprochenen Auskunftsregeln ergeben sich aus den gesetzlichen Bestimmungen des DSG 2000. Diese Auskunftsrechte können auch nicht privatrechtlich, etwa durch entsprechend formulierte AGBs ausgeschlossen werden. Derartige Formulierungen, wie "beide Vertragspartner verzichten auf das Auskunftsrecht gemäß DSG 2000" sind rechtsunwirksam.
Es besteht jedoch für Auftraggeber die Möglichkeit die Auskunftsfristen zugunsten des Betroffenen zu verkürzen bzw. den Auskunftsumfang freiwillig zu erweitern. Eine wichtige Erweiterung wäre etwa, bekannt zu geben welche Auswertungen mit den persönlichen Daten gemacht werden.
Derartige Erweiterungen könnten branchenweit durch gemeinsame Datenschutzstandards ("Code of Conduct") formuliert werden, oder unternehmensspezifisch durch sogenannte Privacy-Statements. Leider gibt es dazu kaum lobenswerte Beispiele oder Initiativen.mehr --> Auskunftsbegehren gemäß DSG 2000 §§ 1, 26 (allgemeine Version ...mehr --> Auskunftsbegehren an das BMI und nachgeordnete Sicherheitsbehö...mehr --> Auskunftsbegehren gemäß DSG 2000 §§ 1,26 (Finanzdienstleister,...mehr --> Beschwerde bei der Datenschutzbehördemehr --> Müssen unfrankierte Antwortschreiben bei DSG-Auskunftsverfahre...mehr --> Wie sind Daten zu behandeln, die im Rahmen von Datenschutzverf...mehr --> Was ist ein geeigneter Identitätsnachweis im Sinne des DSG?mehr --> Zu welchem Zeitpunkt kann eine Datenschutz-Beschwerde wegen un...mehr --> Wie kann ich Auskunft über Daten im Schengener Informationssys...mehr --> Müssen im Rahmen einer sogenannten 'Selbstauskunft' Daten an d...mehr --> Gibt es ein Auskunftsrecht gegenüber Dienstleistern?mehr --> Auskunftsrecht gegenüber privater Ermittlungsdienste (etwa Det...mehr --> Wer ist ein Betroffener? / Wer hat Anspruch auf Auskunft von D...mehr --> Auskunfts- und Inkassodienste, bei denen Auskünfte eingeholt werden sollten
--> cms-222 $insert_mysql: INSERT event_log.event_log SET 064_EID = 'anonym', 069_FIL = '/www/htdocs/www2.argedaten.at/php/cms_monitor.php', 066_ENT = 'new_report=J', 933_MDB = 'knowhow', 934_MTA = 'text', 071_DA1 = 'PUB-TEXT-ARGEDATEN', 070_DAT = '25302iob', 072_DA2 = '1', 065_ERR = 'C000', 063_AIP = '192.168.13.1', 068_REF = '', 920_USR = 'everlast', 921_REC = 'anonym', 936_MID = '284482ipikkx998704', 926_DAT = '284482ipikkx998704', 950_FDT = '20170122090037', 981_DDB = '' <--
--> cms-223 mysql_errno(): 1142 <--

References: § 1
 § 26
 Art. 12
 § 1
 § 26
 § 8
 § 1
 § 4
 § 4
 § 14
 § 4
 § 8
 § 26
 § 26
 § 26
 § 29
 § 26
 Art. 12
 § 26
 § 14
 § 31
 § 73
 § 26
 § 53
 § 30