Was ist das Auskunftsrecht nach der DSGVO?

Zwei Stufen: Bestätigung und Auskunft

Zuerst steht die Frage, ob überhaupt Daten verarbeitet werden. Werden keine verarbeitet, muss der Verantwortliche das mitteilen – die österreichische Datenschutzbehörde nennt das „Negativauskunft“. Wird verarbeitet, kommt die zweite Stufe: Auskunft über die Daten selbst und über die Umstände der Verarbeitung.

Zweck des Rechts ist laut Erwägungsgrund 63, dass sich Menschen der Verarbeitung „bewusst“ sind und deren Rechtmäßigkeit überprüfen können. Deshalb ist es oft der erste Schritt, bevor jemand Berichtigung, Löschung oder Widerspruch verlangt.

Was in die Auskunft gehört

Neben den Daten selbst nennt Art. 15 Abs. 1 diese Angaben:

• die Verarbeitungszwecke
• die Kategorien der verarbeiteten Daten
• Empfänger oder Kategorien von Empfängern, besonders in Drittländern
• die geplante Speicherdauer oder die Kriterien dafür
• die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
• das Beschwerderecht bei einer Aufsichtsbehörde
• die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden
• das Bestehen automatisierter Entscheidungen einschließlich Profiling und deren Logik

Bei Übermittlungen in Drittländer kommt nach Abs. 2 die Information über die geeigneten Garantien hinzu.

Die Kopie: was der EuGH dazu sagt

Nach Art. 15 Abs. 3 stellt der Verantwortliche eine Kopie der Daten zur Verfügung. In einem Verfahren gegen die österreichische Datenschutzbehörde (C-487/21, 2023) hat der EuGH erklärt, was das heißt: eine „originalgetreue und verständliche Reproduktion“ aller Daten. Das kann Auszüge aus Dokumenten, ganze Dokumente oder Auszüge aus Datenbanken umfassen, wenn das nötig ist, damit die Person ihre Rechte wirksam ausüben kann.

Die erste Kopie ist unentgeltlich, und zwar auch dann, wenn jemand sie aus einem anderen Grund als dem Datenschutz will – etwa um einen Rechtsstreit vorzubereiten (C-307/22, 2023). Für weitere Kopien darf ein angemessenes Entgelt verlangt werden. Kam der Antrag elektronisch, ist die Auskunft in einem gängigen elektronischen Format zu geben.

Grenzen des Auskunftsrechts

Die Kopie darf nach Art. 15 Abs. 4 die Rechte und Freiheiten anderer nicht beeinträchtigen. Das ist bei Gesprächsprotokollen und Transkripten der wichtigste Punkt: Sie enthalten fast immer auch Aussagen anderer Personen. Solche Stellen können geschwärzt oder zusammengefasst werden, statt die ganze Auskunft zu verweigern. Erwägungsgrund 63 stellt klar, dass solche Rücksichten nicht dazu führen dürfen, „dass der betroffenen Person jegliche Auskunft verweigert wird“. Verarbeitet ein Unternehmen sehr viele Daten über jemanden, darf es um eine Präzisierung bitten.

Nationales Recht ergänzt: In Österreich besteht das Auskunftsrecht nach § 4 Abs. 6 DSG in der Regel nicht, soweit ein Geschäfts- oder Betriebsgeheimnis gefährdet würde. In Deutschland schränkt § 34 BDSG die Auskunft unter anderem für Daten ein, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind, wenn die Auskunft unverhältnismäßigen Aufwand erfordern würde und eine andere Nutzung technisch und organisatorisch ausgeschlossen ist; die Gründe einer Verweigerung sind zu dokumentieren.