Welche Informationen sind umfasst?
Die Auskunft betrifft insbesondere Verarbeitungszwecke, Datenkategorien, Empfänger und die geplante Speicherdauer oder deren Kriterien. Hinzu kommen Informationen über einschlägige Rechte und das Beschwerderecht bei einer Aufsichtsbehörde. Wurden Daten nicht bei der Person erhoben, sind verfügbare Angaben zur Herkunft relevant. Bestimmte automatisierte Entscheidungen können weitere Informationen erfordern. Die Antwort muss sich auf die tatsächliche Verarbeitung beziehen. Ein allgemeiner Verweis auf die Datenschutzerklärung ersetzt eine individuelle Auskunft nicht, soweit daraus die verlangten Angaben zur eigenen Person nicht hervorgehen.
Was bedeutet das Recht auf eine Kopie?
Die Kopie muss die personenbezogenen Daten vollständig und verständlich wiedergeben. Der Anspruch richtet sich nicht automatisch auf sämtliche Originaldokumente eines Unternehmens. Allerdings können Dokumentauszüge oder ganze Dokumente erforderlich sein, wenn erst dadurch der Inhalt der Daten verständlich wird. Auch personenbezogene Gesprächsnotizen oder Bewertungen können grundsätzlich erfasst sein. Ob eine bestimmte Unterlage herauszugeben ist, hängt somit nicht nur von ihrem Dateinamen ab. Entscheidend sind enthaltene personenbezogene Informationen und ihre Bedeutung für eine verständliche Wiedergabe.
EuGH-Urteil zum Umfang der Datenkopie
Am 4. Mai 2023 entschied der Europäische Gerichtshof, C‑487/21, dass eine originalgetreue und verständliche Reproduktion der personenbezogenen Daten geschuldet ist. Dazu können unter bestimmten Umständen Auszüge aus Dokumenten, ganze Dokumente oder Datenbankauszüge gehören. Der Gerichtshof stellte auf die wirksame Ausübung der Rechte aus der DSGVO ab. Das Urteil begründet deshalb weder einen pauschalen Anspruch auf jede Unternehmensakte noch die Freiheit, Daten lediglich zusammenfassend und unverständlich wiederzugeben. Rechte anderer Personen müssen bei der konkreten Form der Herausgabe berücksichtigt werden.
Welche Frist und welche Kosten gelten?
Grundsätzlich ist unverzüglich, spätestens innerhalb eines Monats nach Eingang zu reagieren. Bei besonderer Komplexität oder einer hohen Zahl von Anträgen kann eine Verlängerung um weitere zwei Monate zulässig sein. Darüber und über die Gründe muss innerhalb des ersten Monats informiert werden. Die erste Datenkopie ist grundsätzlich unentgeltlich. Für weitere Kopien und offensichtlich unbegründete oder exzessive Anträge enthält die DSGVO besondere Regeln. Eine pauschale Bearbeitungsgebühr für jede erste Auskunft ist damit nicht vereinbar.
Identitätsprüfung und Rechte Dritter
Bei begründeten Zweifeln an der Identität dürfen zusätzliche erforderliche Informationen angefordert werden. Eine vollständige Ausweiskopie ist nicht automatisch in jedem Fall notwendig. Der Verantwortliche muss zugleich verhindern, dass Daten einer unberechtigten Person offengelegt werden. Rechte und Freiheiten anderer können den Umfang oder die Darstellungsform begrenzen. Häufig kommen gezielte Schwärzungen in Betracht. Eine mögliche Betroffenheit Dritter rechtfertigt nicht ohne Weiteres eine vollständige Verweigerung sämtlicher Informationen. Auch Geheimhaltungsinteressen müssen konkret geprüft und mit den Auskunftsrechten in Einklang gebracht werden.
Wie sollte eine Anfrage vorbereitet werden?
Eine Anfrage sollte den Verantwortlichen eindeutig erreichen und die eigene Person ausreichend identifizierbar machen. Hilfreich sind Kundennummer, verwendete E-Mail-Adresse oder ein nachvollziehbarer Bezug zur Geschäftsbeziehung. Eine besondere juristische Formulierung ist nicht erforderlich. Eingangsdatum und Antwort sollten dokumentiert werden. Fehlen wesentliche Informationen, können diese gezielt nachgefordert werden. Bei anhaltenden Problemen kommen eine Beschwerde bei der Aufsichtsbehörde und gerichtliche Durchsetzung in Betracht; ein zusätzlicher Schadensersatzanspruch setzt weitere Voraussetzungen voraus. Eine nachvollziehbare Gliederung der Antwort erleichtert es, fehlende Daten und unklare Angaben gezielt zu erkennen.