Auskunftspflicht: Wie Sie laut DSGVO auf einen Auskunftsantrag reagieren müssen
Laut DSGVO haben betroffene Personen das Recht, Auskunft über sie selbst betreffende personenbezogene Daten beim Verantwortlichen zu verlangen.
Lesedauer: 7 Minuten
Wer hat das Recht, Auskunft zu verlangen?
Personen, deren Daten von Ihnen verarbeitet wurden (betroffene Person) haben Anspruch auf Auskunft über ihre personenbezogenen Daten (Antragssteller).
Falls Sie als Verantwortlicher große Mengen an personenbezogenen Informationen verarbeiten, können Sie die betroffene Person bitten, ihren Antrag zu präzisieren.
Es kommt vor, dass Betroffene nur Auskunft aus Datenverarbeitungen (z. B. aus einer konkreten Datenbank) haben möchten oder nur die Herkunft der Daten erfahren wollen. Sollte die antragstellende Person den Antrag nicht präzisieren wollen, müssen Sie Auskunft über alle Datenverarbeitungen zu dieser Person erteilen, da die betroffene Person keine Mitwirkungspflicht trifft.
Wer muss die Auskunft erteilen?
Nur Verantwortliche müssen Auskunft erteilen.
Auftragsverarbeiter sollten Auskunftsanträge unverzüglich an den Verantwortlichen weiterleiten. Außerdem müssen Auftragsverarbeiter den Verantwortlichen bei der Beauskunftung unterstützen.
Wie muss die Auskunft beantragt werden?
Die betroffene Person kann den Antrag formlos (Frage 5) stellen. Eine Begründung, weshalb die antragsstellende Person Auskunft verlangt, darf nicht verlangt werden.
Beispiel
Um zu erfahren, welche Daten über sie verarbeitet werden, schickt Ihre Kundin (betroffene Person) eine E-Mail an die Office-Adresse Ihres Unternehmens, ruft bei Ihrer Service-Hotline an, oder erkundigt sich persönlich in Ihrem Büro.
Müssen Sie einen Identitätsnachweis verlangen, bevor Sie Auskunft erteilen?
Grundsätzlich ist ein Identitätsnachweis der antragsstellenden Person nicht erforderlich. Sollten Sie allerdings begründete Zweifel an der Identität der antragstellenden Person haben, können Sie zusätzliche Informationen anfordern, z. B. Ausweiskopie (Frage 9).
Wie sollen Sie reagieren, wenn Ihnen keine Daten zur antragstellenden Person vorliegen?
Sollten Ihnen als Verantwortlicher keine Daten zur antragstellenden Person vorliegen, müssen Sie ihr dies mitteilen. Dabei handelt es sich um eine sogenannte „Negativauskunft“.
Muster für die Negativauskunft downloadenWas muss die Auskunft umfassen?
Wenn Sie als Verantwortlicher eine Auskunft an die betroffene Person erteilen, muss diese Auskunft folgende Informationen beinhalten:
- Welche konkreten personenbezogenen Daten verarbeiten Sie?
- Welchen Kategorien sind diese personenbezogenen Daten zuzuordnen?
- Zu welchen Zwecken verarbeiten Sie die Daten?
- Wie lange speichern Sie die Daten? Falls Sie zur geplanten Speicherfrist $Link Speicher-, Verjährungs- und Aufbewahrungsfristen keine Auskunft geben können: Nach welchen Kriterien legen Sie die Speicherdauer fest?
Sie müssen die antragstellende Person außerdem darüber informieren, dass ihr folgende Rechte zustehen:
- Recht auf Berichtigung
- Recht auf Löschung ("Recht auf Vergessenwerden")
- Recht auf Einschränkung der Verarbeitung
- Widerspruchsrecht
- Beschwerderecht bei einer Aufsichtsbehörde
Darüber hinaus können bestimmte Umstände bzw. Anlässe dazu führen, dass Verantwortliche zusätzliche Auskünfte erteilen müssen. Bitte prüfen Sie deshalb, ob folgende Punkte auf Ihr Unternehmen zutreffen:
| Mögliche Umstände oder Anlässe | Welche Zusatzinformationen Verantwortliche der antragstellenden Person bereitstellen müssen |
| Sie haben die Daten nicht direkt beim antragstellenden Betroffenen erhoben
| Woher haben Sie die Daten? Beispiele |
| Sie haben die personenbezogenen Daten weitergegeben oder planen, diese noch weiterzugeben (siehe dazu die Infoseite Informationspflichten) | An welche Empfänger haben Sie die Daten weitergeben (inkl. Auftragsverarbeiter)? Falls Sie den Empfänger nicht namentlich nennen können, ist es ausnahmsweise zulässig die Kategorie zu nennen (z. B. „Bank“, „IT-Dienstleister“, „Versicherung“). Ihre Mitarbeitenden sind in der Regel keine Empfänger. |
Ihre Entscheidungen beruhen auf einer automatisierten Verarbeitung der personenbezogenen Daten der betroffenen Person, einschließlich Profiling und entfalten gegenüber der betroffenen Person rechtliche Wirkungen oder beeinträchtigen sie in ähnlicher Weise
| Welche Logik haben Sie verwendet? Welche Tragweite hat diese Form der Datenverarbeitung? Welche Auswirkungen kann diese Form der Datenverarbeitung auf die betroffene Person haben?
|
| Sie übermitteln die Daten an einen Empfänger außerhalb der EU/des EWR (siehe Infoseite Internationaler Datenverkehr). | Auf welchen Grundlagen basiert die Drittlandsübermittlung? |
Unter welchen Voraussetzungen hat die antragstellende Person ein Recht auf Kopie?
Die betroffene Person hat ein Recht auf eine Kopie der personenbezogenen Daten. Dies bedeutet allerdings nicht, dass in jedem Fall eine originalgetreue Reproduktion von Dokumenten, in denen personenbezogene Daten enthalten sind, auszuhändigen ist.
Dies ist nur dann erforderlich, wenn die originalgetreue Kopie eines Dokuments für die Überprüfung der Richtigkeit und Vollständigkeit oder für die Verständlichkeit von Auskünften erforderlich ist. Mit anderen Worten: Die betroffene Person muss begründen, warum die Kopie für die Wahrnehmung ihrer Rechte unerlässlich ist. Ein prominentes Beispiel sind Krankenakten.
Sollte die betroffene Person bereits über die Dokumente verfügen, können Sie als Verantwortlicher davon ausgehen, dass Sie ihr keine weiteren Kopien zur Verfügung stellen müssen.
Wie müssen Sie die Auskunft erteilen?
Als Verantwortlicher müssen Sie bei der Auskunft bestimmte Vorgaben erfüllen. Detaillierte Informationen zu diesen Vorgaben finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten.
Muster für Auskunftserteilung erhalten
Zur Form der Auskunft sollten Sie Folgendes beachten:
- Elektronische Medien nutzen
- Fernzugang bereitstellen
- In Papierform versenden
- Mündliche Auskunftserteilung
- Auskunft auf die anfragende Person beschränken
Elektronische Medien nutzen
Sollte die betroffene Person den Auskunftsantrag elektronisch an Sie stellen, können Sie diesen über elektronische Medien beantworten.
Fernzugang bereitstellen
Als Verantwortlicher können Sie der betroffenen Person einen Fernzugang zu einem sicheren System (z. B. Downloadportal Ihres Online-Shops) bereitstellen.
In Papierform versenden
Auf ausdrücklichen Wunsch der betroffenen Person müssen Sie das Auskunftsschreiben oder die Kopie der Daten auf Papier per Post senden (sofern der Wunsch nicht exzessiv ist, siehe Frage 12).
Mündliche Auskunftserteilung
Sie können die Auskunft mündlich erteilen, wenn
- die betroffene Person dies wünscht und
- keine Zweifel an der Identität bestehen.
Auskunft auf die anfragende Person beschränken
Enthält eine Auskunft Daten anderer betroffener Personen, müssen Sie diese Informationen schwärzen.
In welchen Fällen können Sie die Auskunft ablehnen?
Die allgemeinen Ablehnungsrechte von Verantwortlichen finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 12).
Außerdem können Sie den Antrag ablehnen, wenn die Auskunftserteilung Ihre berechtigten Interessen oder jene eines Dritten gefährdet, also insbesondere bei Geschäfts- oder Betriebsgeheimnissen, aber auch wenn Ihre rechtliche Position bzw. die rechtliche Position eines Dritten gefährdet würde (z. B. Auskunft eines Rechtsschutzversicherers an den Prozessgegner des Versicherungsnehmers in einem Schadenersatzprozess).
Das Vorhandensein der Daten anderer Personen berechtigt nicht automatisch zur Ablehnung der Auskunft. Diesfalls sind die Daten der anderen Person nicht mitzubeauskunften bzw. falls Kopien beauskunftet werden, zu schwärzen.
Verfolgt die antragsstellende Person „datenschutzfremde“ Motive, können Sie als Verantwortlicher die Auskunftserteilung deswegen nicht automatisch ablehnen. Die Beweislast betreffend diese datenschutzfremden Motive liegt bei Ihnen.
Beispiele
Gebührenersparnis, Beweismittelbeschaffung für einen Schadenersatzprozess
Innerhalb welcher Frist müssen Sie die Auskunft erteilen?
Als Verantwortlicher müssen Sie dem Betroffenen-Antrag unverzüglich nachkommen. Details zu den Fristen finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 10).
Dürfen Sie für die Auskunft ein Entgelt verlangen?
Grundsätzlich müssen Sie als Verantwortlicher die Auskunft kostenlos erteilen. Es gibt jedoch Ausnahmen, die ein Entgelt rechtfertigen (Frage 12).
Wo kann der Antragssteller seine Ansprüche auf Auskunftserteilung durchsetzen?
Wo Antragstellende ihre Ansprüche auf Auskunftserteilung durchsetzen können, erfahren Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 14).
Welche Geldstrafen drohen bei Verletzung der Auskunftspflicht?
Wenn Sie als Verantwortlicher die Rechte von betroffenen Personen verletzen, müssen Sie mit einem Bußgeld rechnen (Frage 15).
Zum Nachschlagen: Gesetzliche Bestimmungen zu den Betroffenenrechten
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.