Auskunftspflicht: Wie Sie laut DSGVO auf einen Auskunftsantrag reagieren
Laut DSGVO haben betroffene Personen das Recht, Auskunft über sie selbst betreffende personenbezogene Daten beim Verantwortlichen zu verlangen.
Lesedauer: 7 Minuten
Wer hat das Recht, Auskunft zu verlangen?
Personen, deren Daten von Ihnen verarbeitet wurden (betroffene Person) haben Anspruch auf Auskunft über ihre personenbezogenen Daten (Antragssteller).
Anträge auf Auskunft über Daten einer anderen Person als die antragsstellende Person (z. B. Auskunft über ein anderes Familienmitglied, Freund:innn, Kund:innen, Mitarbeiter:innen, etc.) fallen nicht unter das Auskunftsrecht. In diesen Fällen müssen Sie keine Auskunft geben.
Falls Sie als Verantwortlicher große Mengen an personenbezogenen Informationen verarbeiten, können Sie die betroffene Person bitten, ihren Antrag zu präzisieren.
Es kommt vor, dass Betroffene nur Auskunft aus Datenverarbeitungen (z. B. aus einer konkreten Datenbank) haben möchten oder nur die Herkunft der Daten erfahren wollen. Sollte die antragstellende Person den Antrag nicht präzisieren wollen, müssen Sie Auskunft über alle Datenverarbeitungen zu dieser Person erteilen, da die betroffene Person keine Mitwirkungspflicht trifft.
Wer muss die Auskunft erteilen?
Nur Verantwortliche müssen Auskunft erteilen.
Auftragsverarbeiter sollten Auskunftsanträge unverzüglich an den Verantwortlichen weiterleiten. Außerdem müssen Auftragsverarbeiter den Verantwortlichen bei der Beauskunftung unterstützen.
Wie muss die Auskunft beantragt werden?
Die betroffene Person kann den Antrag formlos $LINK Betroffenenrechte Muss der Betroffene seine Anträge schriftlich stellen? stellen. Eine Begründung, weshalb die antragsstellende Person Auskunft verlangt, darf nicht verlangt werden.
Beispiel
Um zu erfahren, welche Daten über sie verarbeitet werden, schickt Ihre Kundin (betroffene Person) eine E-Mail an die Office-Adresse Ihres Unternehmens, ruft bei Ihrer Service-Hotline an, oder erkundigt sich persönlich in Ihrem Büro.
Müssen Sie einen Identitätsnachweis verlangen, bevor Sie Auskunft erteilen?
Grundsätzlich ist ein Identitätsnachweis der antragsstellenden Person nicht erforderlich. Sollten Sie allerdings begründete Zweifel an der Identität der antragstellenden Person haben, können Sie zusätzliche Informationen anfordern (z. B. Ausweiskopie).
- Weitere Infos zum Identitätsnachweis von betroffenen Personen erhalten $Link Wann und wie müssen betroffene Personen ihre Identität nachweisen, damit der Verantwortliche Betroffenenanträge bearbeitet?
Wie sollen Sie reagieren, wenn Ihnen keine Daten zur antragstellenden Person vorliegen?
Sollten Ihnen als Verantwortlicher keine Daten zur antragstellenden Person vorliegen, müssen Sie ihr dies mitteilen. Dabei handelt es sich um eine sogenannte „Negativauskunft“.
>> Muster für die Negativauskunft downloaden $CTA mit Link Musterschreiben Auskunftserteilung.
Was muss die Auskunft umfassen?
Wenn Sie als Verantwortlicher eine Auskunft an die betroffene Person erteilen, muss diese Auskunft folgende Informationen beinhalten:
- Welche konkreten personenbezogenen Daten verarbeiten Sie?
- Welchen Kategorien sind diese personenbezogenen Daten zuzuordnen?
- Zu welchen Zwecken verarbeiten Sie die Daten?
- Wie lange speichern Sie die Daten? Falls Sie zur geplanten Speicherfrist $Link Speicher-, Verjährungs- und Aufbewahrungsfristen keine Auskunft geben können: Nach welchen Kriterien legen Sie die Speicherdauer fest?
Sie müssen die antragstellende Person außerdem darüber informieren, dass ihr folgende Rechte zustehen:
- Recht auf Berichtigung ($Link zur Unterseite),
- Recht auf Löschung ("Recht auf Vergessenwerden") ($Link zur Unterseite)
- Recht auf Einschränkung der Verarbeitung ($Link zur Unterseite)
- Widerspruchsrecht ($Link zur Unterseite)
- Beschwerderecht bei einer Aufsichtsbehörde ($Link zur Unterseite)
Darüber hinaus können bestimmte Umstände bzw. Anlässe dazu führen, dass Verantwortliche zusätzliche Auskünfte erteilen müssen. Bitte prüfen Sie deshalb, ob folgende Punkte auf Ihr Unternehmen zutreffen:
| Mögliche Umstände oder Anlässe | Welche Zusatzinformationen Verantwortliche der antragstellenden Person bereitstellen müssen |
| Sie haben die Daten nicht direkt beim antragstellenden Betroffenen erhoben
| Woher haben Sie die Daten? Beispiele |
| Sie haben die personenbezogenen Daten weitergegeben oder planen, diese noch weiterzugeben (siehe dazu das Informationsblatt §Link Informationspflichten) | An welche Empfänger haben Sie die Daten weitergeben (inkl. Auftragsverarbeiter)? Falls Sie den Empfänger nicht namentlich nennen können, ist es ausnahmsweise zulässig die Kategorie zu nennen (z. B. „Bank“, „IT-Dienstleister“, „Versicherung“).
Ihre Mitarbeitenden sind in der Regel keine Empfänger.
|
| Ihre Entscheidungen beruhen auf einer automatisierten Verarbeitung der personenbezogenen Daten der betroffenen Person, einschließlich Profiling und entfalten gegenüber der betroffenen Person rechtliche Wirkungen oder beeinträchtigen sie in ähnlicher Weise
| Welche Logik haben Sie verwendet Welche Tragweite hat diese Form der Datenverarbeitung? Welche Auswirkungen kann diese Form der Datenverarbeitung auf die betroffene Person haben?
|
| Sie übermitteln die Daten an einen Empfänger außerhalb der EU/des EWR (siehe dazu $LINK IDVK). | Auf welchen Grundlagen basiert die Drittlandsübermittlung? |
Unter welchen Voraussetzungen hat die antragstellende Person ein Recht auf Kopie?
Die betroffene Person hat ein Recht auf eine Kopie der personenbezogenen Daten. Dies bedeutet allerdings nicht, dass in jedem Fall eine originalgetreue Reproduktion von Dokumenten, in denen personenbezogene Daten enthalten sind, auszuhändigen ist.
Dies ist nur dann erforderlich, wenn die originalgetreue Kopie eines Dokuments für die Überprüfung der Richtigkeit und Vollständigkeit oder für die Verständlichkeit von Auskünften erforderlich ist. Mit anderen Worten: Die betroffene Person muss begründen, warum die Kopie für die Wahrnehmung ihrer Rechte unerlässlich ist. Ein prominentes Beispiel sind Krankenakten.
Sollte die betroffene Person bereits über die Dokumente verfügen, können Sie als Verantwortlicher davon ausgehen, dass Sie ihr keine weiteren Kopien zur Verfügung stellen müssen.
Wie müssen Sie die Auskunft erteilen?
Als Verantwortlicher müssen Sie bei der Auskunft bestimmte Vorgaben erfüllen. Detaillierte Informationen zu diesen Vorgaben finden Sie auf unserer Übersichtsseite $Link Auskunft.
- Weitere Infos zu den Betroffenenrechten erhalten $Link Startseite - Wie sollten Verantwortliche mit der betroffenen Person kommunizieren?“ und
- Zum Muster Auskunftserteilung $CTA mit Link Musterschreiben Auskunftserteilung
Zur Form der Auskunft sollten Sie Folgendes beachten:
Elektronische Medien nutzen
Sollte die betroffene Person den Auskunftsantrag elektronisch an Sie stellen, können Sie diesen über elektronische Medien beantworten.
Fernzugang bereitstellen
Als Verantwortlicher können Sie der betroffenen Person einen Fernzugang zu einem sicheren System (z. B. Downloadportal Ihres Online-Shops) bereitstellen.
In Papierform versenden
Auf ausdrücklichen Wunsch der betroffenen Person müssen Sie das Auskunftsschreiben oder die Kopie der Daten auf Papier per Post senden (sofern der Wunsch nicht exzessiv $LINK Betroffenenrechte - Dürfen Verantwortliche die Erfüllung antragsgebundener Betroffenenanträge ablehnen? ist).
Mündliche Auskunftserteilung
Sie können die Auskunft mündlich erteilen, wenn
- die betroffene Person dies wünscht und
- keine Zweifel an der Identität bestehen.
Auskunft auf die anfragende Person beschränken
Enthält eine Auskunft Daten anderer betroffener Personen, müssen Sie diese Informationen schwärzen.
In welchen Fällen können Sie die Auskunft ablehnen?
Die allgemeinen Ablehnungsrechte von Verantwortlichen finden Sie auf unserer Übersichtsseite $LINK Betroffenenrechte - Dürfen Verantwortliche die Erfüllung antragsgebundener Betroffenenanträge ablehnen?
Außerdem können Sie den Antrag ablehnen, wenn die Auskunftserteilung Ihre berechtigten Interessen oder jene eines Dritten gefährdet, also insbesondere bei Geschäfts- oder Betriebsgeheimnissen, aber auch wenn Ihre rechtliche Position bzw. die rechtliche Position eines Dritten gefährdet würde (z. B. Auskunft eines Rechtsschutzversicherers an den Prozessgegner des Versicherungsnehmers in einem Schadenersatzprozess).
Das Vorhandensein der Daten anderer Personen berechtigt nicht automatisch zur Ablehnung der Auskunft. Diesfalls sind die Daten der anderen Person nicht mitzubeauskunften bzw. falls Kopien beauskunftet werden, zu schwärzen.
Verfolgt die antragsstellende Person „datenschutzfremde“ Motive, können Sie als Verantwortlicher die Auskunftserteilung deswegen nicht automatisch ablehnen. Die Beweislast betreffend diese datenschutzfremden Motive liegt bei Ihnen.
Beispiele
Gebührenersparnis, Beweismittelbeschaffung für einen Schadenersatzprozess
Innerhalb welcher Frist müssen Sie die Auskunft erteilen?
Als Verantwortlicher müssen Sie dem Betroffenen-Antrag unverzüglich nachkommen. Details zu den Fristen finden Sie auf unserer Übersichtsseite §Link Übersichtsseite.
Weitere Infos zu den Fristen erhalten $Link Betroffenenrechte - Innerhalb welcher Frist müssen Verantwortliche Anfragen von Betroffenen beantworten?
Dürfen Sie für die Auskunft ein Entgelt verlangen?
Grundsätzlich müssen Sie als Verantwortlicher die Auskunft kostenlos erteilen. Es gibt jedoch Ausnahmen, die ein Entgelt rechtfertigen.
- Weitere Infos zu den Ausnahmen in Bezug auf das Entgelt erhalten $Link Betroffenenrechte - Dürfen Verantwortliche für die Erfüllung von Betroffenenanträgen ein Entgelt verlangen?
Wo kann der Antragssteller seine Ansprüche auf Auskunftserteilung durchsetzen?
Wo Antragstellende ihre Ansprüche auf Auskunftserteilung durchsetzen können, erfahren Sie auf unserer Übersichtsseite $Link Betroffenenrechte - Wie können Betroffene ihre Rechte durchsetzen?
Welche Geldstrafen drohen bei Verletzung der Auskunftspflicht?
Wenn Sie als Verantwortlicher die Rechte von betroffenen Personen verletzen, müssen Sie mit einem Bußgeld rechnen.
- Weitere Infos zu Geldstrafen für verletzte Betroffenenrechte erhalten $Link Betroffenenrechte - Mit welchen Geldstrafen müssen Verantwortliche rechnen, wenn sie Betroffenenrechte verletzen?“
Zum Nachschlagen: Gesetzliche Bestimmungen zu den Betroffenenrechten
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.