Source: https://datenbeschuetzerin.de/home-datenbeschuetzerin/auskunftsrecht-art-15-dsgvo-dsk-papier-nr-6/
Timestamp: 2020-07-04 02:52:49+00:00

Document:
Auskunftsrecht Art. 15 DSGVO (DSK-Papier Nr. 6) - Datenbeschützerin Regina Stoiber
Auskunftsrecht Art. 15 DSGVO (DSK-Papier Nr. 6)
Home › Datenschutz › Auskunftsrecht Art. 15 DSGVO (DSK-Papier Nr. 6)
Das DSK-Papier nimmt Stellung zum Betroffenenrecht „Auskunft“. In welchem Umfang die Auskunft zu erteilen ist, in welcher Form die Auskunft zu geben ist, ob eine Identifikation erfolgen darf und welche Fristen einzuhalten sind, werden hier beantwortet.
Warum hat man ein Auskunftsrecht?
Welchen Umfang hat das Auskunftsrecht?
In welcher Form muss die Auskunft erteilt werden?
Welche Frist für die Auskunftserteilung ist zu beachten?
Darf eine Identifizierung des Betroffenen vorgenommen werden?
Welche Grenzen hat das Auskunftsrecht?
Was passiert, wenn keine Auskunft gegeben wird?
Empfehlung der Datenbeschützerin
DSK-Kurzpapier Nr. 6
Schaffung von Transparenz über die Verarbeitungsvorgänge
Erleichterung des Durchsetzens von weiteren Ansprüchen (z.B. Löschung, Einschränkung, Berichtigung)
Art. 15 Abs. 1 DSGVO bietet dem betroffenen ein abgestuftes Auskunftsrecht, d.h.
der Betroffene kann eine Bestätigung/Negativauskunft des Verantwortlichen verlangen, ob seine Daten dort verarbeitet werden ODER
eine konkrete Auskunft verlangen, welche Daten beim Verantwortlichen verarbeitet werden
Neben den beiden Möglichkeiten sind dem Betroffenen jedoch folgende Informationen immer mitzuteilen:
Empfänger selbst bzw. Empfängerkategorien
Speicherdauer, falls dies möglich ist
zustehende Rechte des Betroffenen (Löschung, Berichtigung, Einschränkung, Widerspruchsrecht)
Quellen der Daten / Datenherkunft, sofern diese von Dritten mitgeteilt wurden
Bestehen einer automatisierten Entscheidungsfindung / Profiling, sofern dies angewandt wird
Datenübermittlung in Drittländer, sofern dies durchgeführt wird
Die oben genannten Informationen sind im Großen und Ganzen inhaltsgleich mit Art. 13 und Art. 14 DSGVO. Daher kann als Anlage an die Rückmeldung an den betroffenen ggf. nochmals die Informationspflicht angehängt werden.
Die Beantwortung kann schriftlich, elektronisch oder mündlich (auf der betroffenen Person)
Es kommt jedoch auf den Anfrageweg des Betroffenen an
Bei einem elektronischen Auskunftsgesuch ist die Rückmeldung ebenfalls in elektronischer Form zur Verfügung zu stellen (z.B. als PDF)
Die Kommunikationswege müssen jedoch angemessene Sicherheitsanforderungen erfüllen (z.B. TLS-Verschlüsselung etc.)
Stellt der Anfragende sein Auskunftsgesuch elektronisch per E-Mail, möchte jedoch die Rückmeldung auf dem Postweg erhalten, so ist diesem Folge zu leisten (Art. 15 Abs. 3 Satz 3 DSGVO).
grds. unverzüglich (Art. 12 Abs. 3 DSGVO) bzw.
spätestens aber einen Monat nach Antragseingang
Überschreitung der Frist ist nur in begründeten Ausnahmefällen möglich
grds. ist die Auskunftserteilung kostenlos zu erteilen
fallen jedoch weitere bzw. mehrere Kopien an, darf ein angemessenes Entgelt berechnet werden
auch bei dauerhaften oder offenkundigen unbegründeten Anfragen kann ein Entgelt verlangt werden
Der Verantwortliche muss sicherstellen, dass der Anfragende auch wirklich derjenige ist
Verhinderung, um Daten an unbefugte Dritte zur Verfügung zu stellen
bestehen begründete Zweifel, so kann ein Nachweis über die Identität gefordert werden (Art. 12 Abs. 6 DSGVO)
Zur Identifizierung sollten jedoch keine neuen Datensätze erhoben werden, sondern mit den bereits vorhandenen Daten abgeglichen werden. Beispiele: Buchungsnummer/Reservierungsnummer bei Hotels, Kundennummer bei Unternehmen, postalische Adresse bei elektronischem Auskunftsgesuch. Eine Kopie des Ausweises oder Reisepasses sollte nur als letzte Möglichkeit in Betracht gezogen werden. Diese ist nur ein gewissen Einzelfällen zulässig.
Ist eine größere Menge der Datensätze vorhanden, darf der Verantwortliche von dem Betroffenen eine Präzisierung in Bezug auf die Datensätze und Verarbeitungsgänge verlangen
Kann bei Banken oder Versicherungen vorkommen
Bei unbegründeten oder dauerhaften Anfragen kann eine Ablehnung oder Kostenerstattung folgen; ist jedoch nur in Ausnahmefällen möglich
Der Verantwortliche muss nachweisen und gegenüber dem Betroffenen begründen können, dass die Anfrage unbegründet bzw. exzessiv ist
§ 34 BDSG zieht weitere Grenzen auf Archivdaten und Protokollierungsdaten – ob eine Einschränkung der Ausübung der Betroffenenrechte vorliegt ist im Einzelfall zu entscheiden
Die Auskunftserteilung darf Dritte nicht ihren Rechten und Freiheiten beeinträchtigen
jedoch darf die Auskunftserteilung nicht komplett verweigert werden
Prozessbeschreibung über Betroffenenrechte einführen
Mitarbeiter die Prozessbeschreibung im Rahmen einer Mitarbeiterschulung präsentieren und sensibilisieren
zuständigen Mitarbeiter innerhalb des Unternehmens für die Beantwortung der Anfragen beauftragen (z.B. interner Datenschutzbeauftragter)
Vertretungsregelung bei Abwesenheit der zuständigen Person einführen
externer DSB: Anfragen sollten an den DSB weitergeleitet werden und auch die weitere Vorgehensweise besprochen werden
Weitere Informationen finden Sie in unserem Blogartikel: Betroffenenrechte im Datenschutz
DSK_Kurzpapier_Nr. 6Herunterladen
Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz): https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_6.pdf
Tags: Aufsichtsbehörde, Auskunftsanfragen, Betroffenenrechte, Bußgelder, Informationspflicht

References: Art. 15
 Art. 15
 Art. 15

Art. 15
 Art. 13
 Art. 14

§ 34