Auskunftsrecht erklärt: EDSA veröffentlicht neue Leitlinien

Rund um Betroffenenrechte und Auskunftsersuchen besteht viel Unsicherheit. Müssen beispielsweise Kopien mitausgehändigt werden? Wie funktioniert die Identifikation von Betroffenen? Und ab wann gelten Auskunftsersuchen als exzessiv?

Um dieser Unsicherheit entgegenzuwirken, hat der Europäische Datenschutzausschuss (EDSA) Leitlinien zum Auskunftsrecht veröffentlicht. In über 60 Seiten gibt der Ausschuss Antworten mit Praxisbezug und Beispielen aus dem Alltag.

Wir haben für Sie zusammengefasst, worum es bei den Leitlinien geht und stellen beispielhaft drei bisher umstrittene Aspekte vor: Inhalt von Auskunftsersuchen, Identifikation und exzessive Anfragen. 

In den Leitlinien heißt es, dass Verantwortliche angemessene Maßnahmen treffen müssen, um Personen, die ein Auskunftsersuchen stellen, zu identifizieren. Damit soll sichergestellt werden, dass die Daten nicht in die Hände von unbefugten Dritten gelangen. Die Maßnahmen sollten allerdings angemessen sein (v. a. in Bezug auf die Sensibilität und die Kategorien der verarbeiteten Daten) und keine zusätzliche Hürde darstellen.

Haben Verantwortliche also berechtigte Zweifel daran, dass es sich bei den Personen, die Auskunftsersuchen stellen, tatsächlich um die Betroffenen handelt, dürfen und müssen sie zusätzliche Informationen zur Bestätigung der Identität einfordern. Welche zusätzlichen Informationen das sind, hängt ganz vom Fall, den verarbeiteten Daten und dem potentiellen Risiko für die Betroffenen ab. Dafür müssen Verantwortliche jeweils abwägen, welche Informationen sie zur Identifikation benötigen und ob dies verhältnismäßig ist.

Bei Online-Diensten bietet es sich beispielsweise an, Log-in-Daten abzufragen bzw. die angefragten Daten über diesen Weg zur Verfügung zu stellen, da so keine zusätzlichen Informationen erhoben werden müssen (Datenminimierung). Auch das Stellen von Sicherheitsfragen ist eine Möglichkeit.

In besonderen Fällen können sogar Dokumente zur Identifikation, wie Personalausweise, im Original bzw. in geschwärzter Kopie gefordert werden. Das sollte allerdings die Ausnahme bilden und nur bei besonders sensiblen Daten eingesetzt werden.

Können Verantwortliche Betroffene nicht zweifelsfrei identifizieren, dürfen sie Auskunftsersuchen ablehnen.

Tipp: Im Zweifelsfall können Sie auch eine postalische Übermittlung der Daten mittels des sog. „Post-Identverfahrens“ durchführen. Mehr dazu hier.

Auskunftsersuchen sind ein wichtiger Bestandteil der Betroffenenrechte. Deshalb müssen Betroffene auch keine Gründe für ihr Ersuchen angeben. Für Verantwortliche bedeutet das im Umkehrschluss, dass sie Ersuchen beantworten müssen – auch, wenn sie einen Bearbeitungsaufwand darstellen. Laut EDSA ist es nicht die Aufgabe von Verantwortlichen, zu prüfen, inwiefern das Auskunftsersuchen dazu beiträgt, andere Rechte wahrzunehmen oder die Rechtmäßigkeit der Datenverarbeitung zu überprüfen.

Machen Betroffene in regelmäßigen Abständen von diesem Recht Gebrauch, kann es allerdings schnell zur Belastung für die Verantwortlichen werden. Daher hat der Datenschutzausschuss definiert, ab wann Auskunftsersuchen als exzessiv gelten.

Wie so häufig lautet die Antwort im Datenschutz allerdings: Es kommt darauf an. Ob Ersuchen als exzessiv gelten, hängt stark von dem Sektor der Verantwortlichen ab. Je öfter Verantwortliche Änderungen in ihren Datenbanken vornehmen, desto öfter dürfen Betroffene Auskunftsersuchen stellen. Daher werden gehäufte Anfragen an Social-Media-Unternehmen beispielsweise als weniger exzessiv angesehen als an Tischlereien. Die angemessenen Intervalle, in denen Auskunftsersuchen gestellt werden können, unterscheiden sich teilweise also stark.