Auskunft heißt Auskunft – so konkret wie möglich
Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wesentlichen Rechte für die Betroffenen. Nicht ohne Grund erhält die Datenschutzaufsicht daher auch viele Beschwerden, in denen dargelegt wird, dass eine begehrte Auskunft gar nicht oder aber nicht vollständig erteilt worden ist. Dies betrifft vor allem auch die Frage, an wen die Daten der Betroffenen weiterübermittelt worden sind.
In den Standardtexten ihrer Auskunftsschreiben an Betroffene nach Art. 15 DSGVO behaupten nicht wenige Unternehmen, darunter auch ein Adresshändler, dass ihnen ein Wahlrecht im Hinblick auf Art. 15 Abs. 1 Buchst. c DSGVO zustünde, sie also zwischen der Nennung des konkreten Empfängers (z.B. Fa. XY) oder einer Empfängerkategorie (z.B. Verlage) auswählen könnten.
Dies ist aber datenschutzrechtlich unzutreffend. Die genannte Regelung ist vielmehr so zu verstehen, dass bei erfolgten Übermittlungen über den konkreten Empfänger Auskunft zu erteilen ist, bei künftigen und geplanten Übermittlungen über die entsprechende Kategorie(en). Es ist also dem Antragsteller immer das an Informationen zu nennen, was auch an Wissen bei der verantwortlichen Stelle vorhanden ist.
Auch aus den Regelungen der Art. 5 und Art. 12 DSGVO ergibt sich die Pflicht des Verantwortlichen, ein Höchstmaß an Transparenz zugunsten der Betroffenen zu leisten. Lediglich die Nennung einer Kategorie von Empfängern reicht da nicht aus und hilft übrigens auch dem Betroffenen nicht weiter, der so konkrete Angaben wie möglich erwartet. Denn er kann (und will auch häufig) bei den genannten Empfängern sein Auskunftsrecht nach Art. 15 DSGVO geltend machen und so weiterverfolgen, wer alles seine persönlichen Daten bekommen hat.
Dies ist auch – wörtlich – Erwägungsgrund 63 der DSGVO („ … wer die Empfänger der personenbezogenen Daten sind …“) zu entnehmen. Wenn man überhaupt ein Wahlrecht annehmen würde, so stünde dieses allein dem Betroffenen zu, da Art. 15 DSGVO ein Betroffenenrecht regelt.
Es wurden daher die betroffenen Unternehmen aufgefordert, ihre bisherige Praxis bei der Beauskunftung nach Art. 15 DSGVO umgehend an die dargelegte Rechtsauffassung anzupassen. In diesem Punkt ist die Datenschutzaufsicht streng, auch sieht sie keinen Anlass für etwaige andere „Auslegungen“ – denn die Rechte der Betroffenen sind zu wahren!
Quelle: LfDI Baden-Württemberg
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks