Das Thema Auskunftsrecht wirft in der Praxis immer wieder Fragen auf. Das European Data Protection Board (EDPB) befasste sich mit diesem Thema in einer 60-seitigen englischsprachigen Guideline. In diesem Beitrag sollen wichtige Aussagen des EDPB zum Thema Auskunftsrecht dargestellt werden, die in der Praxis von Relevanz sind.
Zum Recht auf Kopie
Zum Umfang
Das EDPB legt den Begriff der Kopie weit aus und folgt insofern der Ansicht des Bundesarbeitsgerichts (BAG), das in seinem Urteil vom 27.4.21 (2 AZR 342/20) eine umfassende Auslegung des Rechts auf Kopie statuierte. Kopien sollten durch den Verantwortlichen in dauerhafter Form zur Verfügung gestellt werden und leicht verfügbar sein. Kopien personenbezogener Daten können nach Ansicht des EDPB grundsätzlich auch per E-Mail übermittelt werden, sofern alle erforderlichen Sicherheitsvorkehrungen zum Schutz der Daten getroffen sind. Hierbei geht das EDPB auch darauf ein, dass sog. „gängige elektronische Formate“ einem zeitlichen Wandel unterliegen und dass die Gängigkeit dieser Formate sich an den berechtigten Erwartungen des Betroffenen zu orientieren hat und nicht an solchen Formaten, die der Verantwortliche im Tagesgeschäft nutzt.
Zum Inhalt
Der Antrag eines Betroffenen ist nach Ansicht des EDPB aufgrund der zum Zeitpunkt der Antragstellung erfolgenden Verarbeitung zu beantworten. Konkret bedeutet dies, dass der Verantwortliche dem Betroffenen auch solche Daten, die ggf. unrichtig sind oder unrechtmäßig verarbeitet wurden, zur Verfügung stellen soll. Daten, die z. B. bereits aufgrund von gesetzlichen Aufbewahrungsfristen gelöscht wurden, sind hiervon ausgenommen.
Das EDPB begründet das Zurverfügungstellen aller verarbeiteten Daten damit, dass Sinn und Zweck des Auskunftsrechts gerade darin liegen, dass ein Betroffener herausfinden können soll, wenn unrichtige Daten verarbeitet werden. Die Pflicht zur Unterrichtung über den unveränderten Stand der Verarbeitung gilt nach dem EDPB unbeschadet der Verpflichtung des Verantwortlichen, eine unrechtmäßige Verarbeitung zu beenden oder unrichtige Daten zu berichtigen. Nach dem EDPB darf sich ein Verantwortlicher auch nicht vorsätzlich der Verpflichtung entziehen, die angeforderten personenbezogenen Daten zur Verfügung zu stellen, indem die personenbezogenen Daten als Reaktion auf einen Antrag auf Auskunft gelöscht oder geändert werden. Stellt der Verantwortliche bei der Bearbeitung des Antrags auf Auskunft fest, dass die Daten unrichtig sind oder unrechtmäßig verarbeitet werden, muss er nach dem EDPB den Stand der Verarbeitung beurteilen und die betroffene Person entsprechend informieren, bevor er seinen sonstigen Verpflichtungen nachkommt. In seinem eigenen Interesse sollte der für die Verarbeitung Verantwortliche Informationen über die anschließende Berichtigung oder Löschung hinzufügen, um zu vermeiden, dass eine weitere Mitteilung erforderlich ist, und um dem Transparenzgrundsatz zu entsprechen.
Zusätzliche Kopie oder neuer Antrag
Wenn ein Betroffener eine zusätzliche Kopie nach dem Stellen eines ersten Antrages verlangt, ist durch den Verantwortlichen zu prüfen, ob es sich hierbei um einen neuen Antrag handelt oder ob es sich lediglich um eine zusätzliche Kopie i. S. d. Art. 15 Abs. 3 S. 2 DSGVO handelt, für die eine angemessene Gebühr verlangt werden kann. Maßgeblich für diese Unterscheidung ist nach dem EDPB der Inhalt des Antrages: Das Verlangen einer zusätzlichen Kopie stellt dann keinen neuen Antrag dar, wenn dieses Ersuchen sich zeitlich und vom Umfang her auf denselben personenbezogenen Datensatz bezieht wie der frühere Antrag. Insofern würde es sich bei einem solchen Ersuchen um eine zusätzliche Kopie i. S. d. Art. 15 Abs. 3 S. 2 DSGVO handeln.
Das oben beschriebene Ersuchen kann aber nach Ansicht des EDPB auch als neuer Antrag eingestuft werden und zwar dann, wenn die betroffene Person beabsichtigt, Informationen über die zu einem anderen Zeitpunkt verarbeiteten Daten oder über einen anderen Datenbestand als den ursprünglich angeforderten zu erhalten; dann gilt das Recht auf eine kostenlose Kopie gemäß Art. 15 Abs. 3 DSGVO erneut. Dies gilt auch in Fällen, in denen die betroffene Person kurz zuvor einen ersten Antrag gestellt hat.
Wenn die betroffene Person einen ersten Antrag auf Auskunft mit der Begründung wiederholt, dass die erhaltene Antwort unvollständig war oder die Ablehnung nicht begründet wurde, ist dieser Antrag nicht als neuer Antrag zu betrachten, da es sich lediglich um eine Erinnerung an einen ersten nicht vollständig beantworteten Antrag handelt.
Für die Festlegung einer „angemessenen Gebühr“ für eine zusätzliche Kopie empfiehlt das EDPB eine Orientierung an den entstandenen Verwaltungskosten. Gemeinkosten oder andere allgemeine Ausgaben sollten nicht auf den Betroffenen abgewälzt werden. Die Angemessenheit sollte durch den Verantwortlichen nachgewiesen werden können. Zudem sollte der Verantwortliche dem Antragsteller vor der Erhebung einer angemessenen Gebühr mitteilen, dass das Erheben einer solchen Gebühr beabsichtigt wird. Der Betroffene muss also in die Lage versetzt werden, zu entscheiden, ob er den Antrag zurückziehen möchte, um die Erhebung einer Gebühr zu vermeiden.
Einschränkungen des Auskunftsrechts
Allgemeines
Grundsätzlich gilt, dass wenn der Antragsteller nicht ausdrücklich etwas anderes verlangt, ist ihm nach Ansicht des EDPB allgemein Auskunft zu erteilen und die Auskunft muss alle personenbezogenen Daten des Betroffenen umfassen.
Bei großen Datenmengen kann der Verantwortliche z. B. mit Selbstbedienungsinstrumenten in Online-Kontexten arbeiten. Alternativ kann der Verantwortliche auch um Spezifizierung des Antrages bitten, was jedoch nicht dazu führen darf, die Antwort auf das Ersuchen einzuschränken oder Informationen über die Daten bzw. die Verarbeitung der Daten des Betroffenen zu verbergen.
Einschränkungen des Auskunftsrechts ergeben sich nach Ansicht des EDPB nur aus der DSGVO. Das Auskunftsrecht steht auch nicht unter dem allgemeinen Vorbehalt der Verhältnismäßigkeit in Bezug auf den Aufwand, den der Verantwortliche betreiben muss, um dem Antrag der betroffenen Person zu entsprechen. Die Anwendung des Art. 15 Abs. 4 DSGVO darf auch nicht dazu führen, dass der Antrag gänzlich abgelehnt wird.
Unbegründete und exzessive Anträge
Das EDPB äußert sich auch zur Auslegung der Begrifflichkeiten der „unbegründeten“ oder „exzessiven“ Anträge und betont deren enge Auslegung (wir berichteten bereits über diese Problematik):
Exzessive Anträge sind nach Ansicht des EDPB abhängig von dem Tätigkeitsbereich, in dem der Verantwortliche tätig ist (z. B. Je häufiger Änderungen in der Datenbank des Verantwortlichen auftreten, desto häufiger kann die betroffene Person Zugang beantragen, ohne dass dies übermäßig ist. Anstatt den Zugang zu verweigern, kann der Verantwortliche beschließen, von der betroffenen Person eine Gebühr zu verlangen. Dies wäre aber nur bei übermäßigen Anträgen relevant, um die Verwaltungskosten zu decken, die solche Anträge verursachen können).
Ein Ersuchen kann auch als „exzessiv“ angesehen werden. Hierfür benennt das EDPB gleich mehrere Konstellationen, z. B. kann ein Antrag dann als „exzessiv“ bewertet werden, wenn eine Person einen Antrag stellt, aber gleichzeitig anbietet, diesen im Gegenzug für irgendeine Form von Vorteil für den Verantwortlichen zurückzuziehen. Ebenso kann von einem exzessiven Antrag ausgegangen werden, wenn das Ersuchen böswillig ist und dazu dient, einen Verantwortlichen oder seine Mitarbeiter zu belästigen, ohne dass damit ein anderer Zweck verfolgt wird als die Störung des Betriebs, z. B. aufgrund der Tatsache, dass die Person in dem Ersuchen selbst oder in anderen Mitteilungen ausdrücklich erklärt, dass sie eine Störung und nichts anderes beabsichtigt. Als weiteres Beispiel für einen exzessiven Antrag stellt nach dem EDPB der Fall dar, wenn eine Person systematisch verschiedene Anfragen an den Verantwortlichen als Teil einer Kampagne sendet, z. B. einmal pro Woche, mit der Absicht und der Wirkung, Störungen zu verursachen.
Fazit
Neben bereits allgemein bekannten Ansichten und Ausführungen zum Art. 15 DSGVO gibt das EDPB in seiner Guideline zum Auskunftsrecht auch Einblick in Hintergründe der einzelnen Aussagen. Zudem sind verdeutlichende Beispiele – wie beispielsweise bei der Problematik der Identifikation von exzessiven oder unbegründeten Anträgen – in der Praxis stets hilfreich als Orientierung. In der Gesamtschau bietet die Guideline einen guten Überblick über das Thema Auskunftsrecht.