Mit dem Recht auf Auskunft gibt die Datenschutzgrundverordnung (DSGVO) natürlichen Personen die Möglichkeit, von jedem Unternehmen oder von Behörden Auskunft über die zu ihnen verarbeiteten Daten zu erhalten – einschließlich des Anspruchs auf eine Kopie dieser Daten. Derartige Auskunftsanfragen müssen – selbst wenn gar keine Daten über diese Person verarbeitet werden – binnen eines Monats beantwortet werden.

Verstöße gegen diese Auskunftspflicht landen immer häufiger vor der Datenschutzbehörde (DSB) oder den Gerichten. Gerade in Kündigungsprozessen versuchen Gekündigte nicht selten, mit DSGVO-Auskunftsbegehren Druck auf den Arbeitgeber auszuüben.

So wurden vom Oberlandesgericht (OLG) Wien in einem Fall etwa 500 Euro als immaterieller Schaden zugesprochen. In Deutschland etwa sind diese Beträge deutlich höher. Aber auch in Österreich droht bei Systemfehlern in der Beantwortung von Auskunftsbegehren eine Vielzahl von Personen gleichzeitig betroffen zu sein, und damit droht eine schnelle Vervielfachung des Gesamtbetrags.

Auslegungsbedürftig

Schwierigkeiten bei der korrekten Beantwortung von Auskunftsbegehren bereitet, dass die genaue Reichweite des Auskunftsanspruchs aus der DSGVO von auslegungsbedürftigen Rechtsbegriffen geprägt ist. Im vergangenen Jahr hat die Rechtsprechung allerdings einige Aussagen getroffen, die Betroffenen und Unternehmen etwas Klarheit bringen.

Die Informationen müssen dem Betroffenen in leicht zugänglicher Form zur Verfügung gestellt werden. Laut DSB reicht daher eine Einladung zur Einsicht, bei der man sich auf eigene Kosten Kopien oder Ausdrucke erstellen lassen kann, nicht aus, sehr wohl hingegen die Möglichkeit, Zugang zu einer Online-Plattform zu geben, auf der die relevanten Daten abgerufen werden können.

Kostenlos, aber nicht komplett

Auskünfte nach DSGVO sind kostenlos zu erteilen. Das Auskunftsrecht besteht gleichrangig neben anderen, kostenpflichtigen Auskunftsrechten. Allerdings erhalten Betroffene damit oft nicht die kompletten Unterlagen, auf die sie bei Kostenersatz Anspruch hätten. Daten, die sich nicht auf sie beziehen, sind nämlich nicht vom DSGVO-Auskunftsrecht erfasst. Eine vollständige Einsicht in einen Verfahrensakt etwa ist mittels DSGVO-Auskunftsrechts allein meist nicht möglich.

Dass viele Unternehmen reflexartig vor Beantwortung eines Auskunftsbegehrens einen Identitätsnachweis wie eine Pass- oder eine Führerscheinkopie verlangen, ist grundsätzlich sinnvoll, weil damit verhindert wird, dass Daten an eine falsche Person herausgegeben werden.

Nach DSB und den Gerichten darf das Verlangen nach einem Identitätsnachweis aber nicht überspannt werden: Wenn etwa bereits zuvor per E-Mail korrespondiert wurde und über die bereits bekannte E-Mail-Adresse ein Auskunftsbegehren einlangt, muss regelmäßig kein weiterer Identitätsnachweis mehr vorgelegt werden, außer es geht um sensible oder besonders viele Daten. Ist eine E-Mail durch eine Handysignatur elektronisch signiert, sollte dies im Regelfall ausreichen.

Zahlreiche offene Fragen

Erteilt ein Unternehmen oder eine Behörde die vollständige Auskunft während eines laufenden Beschwerdeverfahrens, wird das Beschwerdeverfahren eingestellt. Doch wenn Unternehmen stets auf die Einleitung eines Beschwerdeverfahrens warten, dann droht ihnen eine amtswegige Untersuchung durch die DSB.

Zahlreiche Fragen sind offen. Das Recht auf Auskunft gilt nur so weit, als dadurch keine Rechte Dritter oder gesetzliche Verschwiegenheitspflichten beeinträchtigt werden. Ungeklärt ist etwa, ob eine E-Mail-Korrespondenz, in der über die natürliche Person nur gesprochen wird, bzw. interne Notizen von Review-Gesprächen mit diesen geteilt werden müssen – oder ob solche Dokumente nur (massiv) geschwärzt beauskunftet werden dürfen. Ob und wie in diesem Rahmen Videoaufzeichnungen beauskunftet werden können, ist gänzlich ungeklärt.

Problem Verschwiegenheitspflicht

Bei Rechtsanwälten, Ärzten, Psychologen und ähnlichen Berufen ist das Auskunftsrecht für die eigenen Mandanten oder Patienten nicht eingeschränkt. Die DSB verlangt allerdings, dass bei Auskunftsbegehren von Dritten, denen die Verschwiegenheitspflicht entgegenstehen sollte, auch diesen im Einzelfall bestimmte Daten offengelegt werden müssen – etwa der Umstand, dass überhaupt Daten über sie verarbeitet werden bzw. dass die Ablehnung der Auskunft begründet dargelegt werden muss.

Dabei übersieht die DSB, dass schon allein die Mitteilung eines Anwalts an einen Ehepartner, dass der Anwalt Informationen über diesen vom anderen Ehepartner zwecks Vorbereitung einer Scheidungsklage erhalten hat, oder die Mitteilung eines Psychologen an eine Person, dass ein Patient im Rahmen des psychotherapeutischen Gesprächs über diese Person gesprochen hat, bereits eine Verletzung der Verschwiegenheitspflicht darstellt. Dabei wird diese Aufweichung der in einem Rechtsstaat so wichtigen Verschwiegenheitspflichten von der DSGVO gar nicht verlangt.

Auskunftsanspruch

Wann eine Übermittlung von Daten an einen Dritten stattgefunden hat, ist nach Ansicht der DSB nicht zu beauskunften. Die konkret an Empfänger übermittelten Daten bzw. Datenkategorien aber jedenfalls.

Offen ist, ob nur die Kategorien von Empfängern offenzulegen sind (etwa "Dienstleister") oder ob die konkreten Empfänger, an die in der Vergangenheit Daten übermittelt wurden, namentlich zu beauskunften sind. Diese Frage liegt gerade beim EuGH zur Entscheidung.

Die bisherigen Entscheidungen von DSB und Gerichten geben Unternehmen und Betroffenen erste Hinweise, wie weit der Auskunftsanspruch eigentlich reicht. Vieles ist aber nach drei Jahren immer noch offen. Bis zu einer etablierten und in allen Teilfragen zum Recht auf Auskunft eindeutigen und einheitlichen Rechtsprechungspraxis ist es noch ein langer Weg. (Gernot Fritz, 20.5.2021)