Der Auskunftsanspruch in der Datenschutzgrundverordnung ("DSGVO") statuiert einen starken Anspruch für betroffene Personen. Diese können sämtliche personenbezogene Daten, die mit ihnen im Zusammenhang stehen, herausverlangen. Der Auskunftsanspruch ist eines der am häufigsten verwendeten Werkzeuge im Datenschutzrecht, weil er jedem Betroffenen zusteht. Entsprechend ist er auch oft Gegenstand von Verfahren vor dem Europäischen Gerichtshof. Dieser stellte am 22.06.2023 fest, dass der Auskunftsanspruch auch für die Zeit gilt, in der die DSGVO noch keine Wirkung entfaltete (Az.: C‑579/21).
Art. 15 Abs. 1 DSGVO statuiert den datenschutzrechtlichen Auskunftsanspruch. Nach dieser Vorschrift hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob Daten, die diese Person betreffen, verarbeitet werden. Betroffen ist eine Person dann, wenn Daten Rückschlüsse auf ihre Person zulassen (personenbezogene Daten, Art. 4 Nr. 1 DSGVO); verantwortlich ist grundsätzlich, wer über die Speicherung der Daten entscheidet (Art. 4 Nr. 8 DSGVO).
Werden vom Verantwortlichen personenbezogene Daten verarbeitet, so hat die betroffene Person einen Auskunftsanspruch über diese personenbezogenen Daten und zusätzlich Anspruch auf bestimmte weitere Informationen. Der Verantwortliche muss hinsichtlich der personenbezogenen Daten darlegen, welche Daten vorliegen.
Schon gewusst? Amazon darf Arbeitsleistung mit Handscannern überwachen!
Die Informationen, die bekanntgegeben werden müssen, umfassen unter anderem:
Der Auskunftsanspruch ist häufig Gegenstand von richterlichen Entscheidungen. Hierzu von uns:
- DSGVO und der Auskunftsanspruch
- Kein Auskunftsanspruch für Insolvenzverwalter
- Unterlassungsanspruch bei Verstoß gegen den Datenschutz?
- Auswirkungen Praxisübernahme auf Auskunftsanspruch
- Empfänger von personenbezogenen Daten müssen namentlich genannt werden
Ein Mitarbeiter bei der finnischen Bank Pankki S, wo er auch zugleich Kunde war, erfuhrt im Jahr 2014, dass seine Daten von anderen Mitarbeitenden abgefragt wurden. Er zweifelte an der Rechtmäßigkeit dieser Vorgänge und forderte Pankki S auf, die Identität der Personen, die seine Daten abfragten, freizugeben. Dies geschah 2018.
Aus Datenschutzgründen verweigerte die Bank die Herausgabe. Sie könne nicht die Person bekanntgeben, die die Daten abfragte. Daraufhin klagte der Mitarbeiter in Finnland. Die finnischen Gerichte legten das Verfahren dem Europäischen Gerichtshof vor und wollten unter anderem wissen:
Schon gewusst? Keine anlasslose Videoüberwachung im Stadion!
Der Europäische Gerichtshof stellte fest, dass es unerheblich sei, wann die Daten verarbeitet worden seien. Der Anspruch würde auch Sachverhalte in der Vergangenheit erfassen.
Schon gewusst? Datenschutzrecht 2023: Dürfen Falschparker fotografiert werden?
Ferner wies der Europäische Gerichtshof darauf hin, dass es keinen Unterschied mache, ob derjenige, dessen Daten verarbeitet worden seien, in dem Unternehmen des Verarbeiters zuvor beschäftigt war. Jedenfalls wenn der Betroffene in seiner Position als Kunde betroffen sei und in einer reglementierten Stellung, also nicht als CEO, tätig war.
Schon gewusst? Google muss Links zu "unrichtigen" Daten löschen!
Die DSGVO sieht ferner vor, dass jeder, der gegen die DSGVO verstößt, einen aus diesem Verstoß eventuell resultierenden Schaden zu ersetzen hat:
Artikel 82 DSGVO Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
(2) Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. [...]
(3) Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
(4) [...]
Damit besteht ein weitreichender Schadensersatzanspruch. Allerdings kann sich ein eventuell Schadensersatzpflichtiger nach Artikel 82 Abs. 3 DSGVO exkulpieren (also entschuldigen). Zudem muss der DSGVO Verstoß, das gibt die Vorschrift nicht ausdrücklich her, gravierend sein, damit die Schadensersatzpflicht ausgelöst werden muss.
Wird der Auskunftsanspruch nicht schnell genug erfüllt oder auch unvollständig, kann ein Anspruch auf Schadensersatz bestehen.
Schon gewusst? Anspruch auf Einsicht in Blitzer-Messdaten
Die Entscheidung des Europäischen Gerichtshof schärft weiter die Konturen des Auskunftsanspruchs - zum Vorteil von Anspruchsstellern. Der Anspruch ist ein wichtiges und kraftvolles Werkzeug in den Händen von Betroffenen, das sinnvoll eingesetzt werden kann. Insbesondere weil es nun auch für lange in der Vergangenheit liegende Sachverhalte gilt. Allerdings muss dort die Verjährungsfrist beachtet werden.
Bei weiteren Fragen zum Thema IT- und Datenschutzrecht, stehen wir Ihnen gerne auch persönlich zur Seite. Terminvereinbarungen können Sie während unserer Bürozeiten unter der Telefonnummer 0201-24030 oder per Email unter info@schumacherlaw.com vornehmen.
Ihre Kanzlei Schumacher & Partner
Rechtsanwälte für IT- und Datenschutzrecht in Essen
[zee_kanzlei abteilung="it-und-datenschutzrecht"]