Dauerbrenner in der datenschutzrechtlichen Praxis ist der Auskunftsanspruch nach Art. 15 DSGVO. Demnach können betroffene Personen von datenverarbeitenden Stellen (Verantwortliche) eine Bestätigung darüber verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, besteht in einem zweiten Schritt Anspruch auf Auskunft über diese personenbezogenen Daten. Was sich zunächst unproblematisch anhört, sorgt in der Praxis jedoch oftmals für viel Ärger.
Rechtlicher Hintergrund
Die Geltendmachung des Auskunftsanspruchs wurde dem Betroffenen bewusst und auch völlig zurecht so einfach wie möglich gemacht. Denn an das Auskunftsersuchen sind keinerlei Voraussetzungen geknüpft. Es kann formlos und ohne Angabe von Gründen gegenüber dem Verantwortlichen geltend gemacht werden. Kommt der Verantwortliche diesem Gesuch nicht binnen Monatsfrist nach, kann der Anspruch gerichtlich durchgesetzt werden. Hierfür muss nach ständiger Rechtsprechung kein besonderes Rechtsschutzinteresse dargelegt werden (vgl. AG München, Teilurteil vom 04.09.2019, Az. 155 C 1510/18.). Sofern das Auskunftsrecht außergerichtlich gegenüber dem Verantwortlichen geltend gemacht wurde, befindet sich dieser in der Regel im Verzug, sodass auch etwaig entstandene Rechtsanwaltskosten zu ersetzen sind.
Ferner droht dem Verantwortlichen ein horrendes Bußgeld. Hierbei ist besonders problematisch, dass die Verletzung von betroffenen Rechten gemäß Art. 83 Abs. 5 lit. b DSGVO dem verschärften Bußgeldrahmen von bis zu 20 Mio. Euro oder 4 % des weltweit erzielten Jahresumsatzes unterliegt.
Mögliche Beschränkungen?
Der Umstand, dass an den Anspruch keinerlei Voraussetzungen geknüpft sind, beschert vielen Verantwortlichen in der datenschutzrechtlichen Praxis bei einer Vielzahl von Anträgen einen hohen Bearbeitungsaufwand. Denn Szenarien, in denen die Auskunft eingeschränkt werden kann, sind rar gesät:
So kann der Verantwortliche ausweislich Art. 12 Abs. 6 DSGVO nur bei begründeten Zweifeln an der Identität des Auskunftsersuchenden Informationen anfordern, die zur Bestätigung der Identität tauglich sind. Je sensibler die Daten, desto höher dürfte hier das Interesse an einer eindeutigen Identifizierung sein. Weist der Betroffene seine Identität nach, ist Auskunft zu erteilen.
Eine weitere Schutzmöglichkeit für den Verantwortlichen bietet Erwägungsgrund 63 der DSGVO. Demnach kann der Verantwortliche dem Anspruchsteller abverlangen, sofern er eine große Menge von Informationen über die betroffene Person verarbeitet, sein Anliegen zu präzisieren. Dies ist insbesondere sowohl für Behörden interessant als auch gesetzlich vorgesehen (§ 34 Abs. 4 BDSG).
Gänzlich versagt werden kann das Auskunftsverlangen nur dann, wenn es offenkundig unbegründet ist oder die Anträge im exzessiven Ausmaß gestellt werden (Art. 12 Abs. 5 DSGVO). Welche Kriterien hierfür erfüllt sein müssen, lässt das Gesetz jedoch offen. In diesen Fällen kann der Verantwortliche ein angemessenes Entgelt zur Deckung der Verwaltungskosten verlangen oder sich weigern, dem Auskunftsersuchen nachzukommen. Aufgrund des drohenden Bußgeldes bei Nichtauskunft ist der Verantwortliche allerdings besser beraten, die Auskunft zu erteilen und dann die entstandenen Kosten vom Betroffenen zurückzufordern. Die gänzliche Verweigerung der Auskunft dürfte daher nur in seltenen Ausnahmefällen als ultima ratio zum Tragen kommen.
Praktische Auswirkungen
Die Intention des Gesetzgebers bei der Schaffung der Betroffenenrechte war nicht nur ehrenwert, sondern auch nötig und richtig. Allerdings wurde hierbei nicht bedacht, dass Rechte gegenüber Verantwortlichen auch dazu einladen, missbraucht zu werden.
In der Praxis fällt hierbei oft auf, dass insbesondere der Auskunftsanspruch gerne dazu benutzt wird, Unternehmen oder öffentlichen Stellen gezielt Arbeitsaufwand unter dem Deckmantel eines berechtigten Interesses zu bescheren. Nicht selten wird bei Reibereien im wirtschaftlichen Verkehr oder bei abgelehnten Anträgen einer Behörde, sozusagen als „Retourkutsche“, ein Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht. Im Vordergrund steht hierbei nicht das Informationsinteresse, sondern eher schikanöse Absichten. Allerdings ist der Kontext in aller Regel nicht so ausgestaltet, dass nicht gleich auf rechtsmissbräuchliches Verhalten geschlossen werden könnte. Nicht selten muss dann, vor allem bei Verantwortlichen, die nicht über gesonderte datenschutzrechtliche Expertise verfügen, rechtlicher Rat eingeholt werden. Die Kostenlast ist hierbei vom Verantwortlichen selbst zu tragen.
Dies zeigt, dass die Betroffenenrechte in der Zukunft einer gewissen Anpassung bedürfen. Zwar ist es richtig, dass es keine hohen Hürden geben darf, um Informationen über die Verarbeitung seiner personenbezogenen Daten zu erhalten. Allerdings sollte im Rahmen der Rechtsfortbildung sichergestellt werden, dass dem Missbrauch nachhaltig Einhalt geboten werden kann. Insbesondere vor dem Hintergrund, dass der Auskunftsanspruch nach Art. 15 Abs. 3 DSGVO darüber hinaus ein Recht auf Datenkopie ausweist. Dies ist jedoch eine gesonderte Problematik.
