Das Auskunftsrecht ist das Recht einer betroffenen Person, vom Verantwortlichen zu erfahren, ob personenbezogene Daten über die Person verarbeitet werden, und Auskunft über diese Daten sowie bestimmte weitere Informationen zu erhalten.
Auf einen Blick
Verlangt werden kann eine Bestätigung der Verarbeitung, Auskunft über die Daten, bestimmte weitere Informationen und eine Kopie; das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO), nach Darstellung des BfDI darf der Verantwortliche die Auskunft aber regelmäßig nicht vollständig verweigern, sondern muss etwa die Namen dritter Personen schwärzen.
Nach Art. 12 Abs. 3 DSGVO stellt der Verantwortliche die Informationen über die auf den Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, worüber er die betroffene Person innerhalb eines Monats zusammen mit den Gründen unterrichtet.
Das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) betrifft die von der betroffenen Person bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format, sofern die Voraussetzungen des Art. 20 DSGVO vorliegen; nach den Leitlinien des EDSA verlangt das Auskunftsrecht kein maschinenlesbares Format.
Was ist Auskunftsrecht?
Die betroffene Person kann vom Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten dieser Person verarbeitet werden, und hat im Fall einer Verarbeitung ein Recht auf Auskunft über diese Daten sowie auf Informationen, zu denen unter anderem die Verarbeitungszwecke, die Kategorien der Daten und die Empfänger oder Kategorien von Empfängern gehören. Dieses Recht ist in Art. 15 DSGVO unter der Überschrift „Auskunftsrecht der betroffenen Person“ geregelt. Nach Darstellung des BfDI besteht das Recht gegenüber öffentlichen Stellen, etwa Behörden, und nichtöffentlichen Stellen, etwa Wirtschaftsunternehmen, Verbänden und Vereinen.
Nach Darstellung des BfDI schafft das Auskunftsrecht eine Grundlage dafür, dass andere Betroffenenrechte wie Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch überhaupt gezielt geltend gemacht werden können; nach den Leitlinien des EDSA ist es aber keine Voraussetzung dafür. Verlangt ein Kunde von seinem Versicherer Auskunft, bestätigt der Versicherer, ob er Daten über ihn verarbeitet; ist dies der Fall, erhält der Kunde Auskunft über diese Daten, unter anderem über die Verarbeitungszwecke, und eine Kopie der Daten. Das Recht auf Erhalt einer Kopie darf nach Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Eine Begründung des Antrags muss die betroffene Person nach den Leitlinien des EDSA nicht liefern.
Wie funktioniert Auskunftsrecht?
Nach Art. 12 Abs. 3 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf einen Antrag nach den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Wird der Verantwortliche auf den Antrag nicht tätig, unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe und über die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs.
Hat der Verantwortliche begründete Zweifel an der Identität der Person, die den Antrag stellt, kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind.
Auskunftsrecht im Vergleich
| Kriterium | Auskunftsrecht | Recht auf Datenübertragbarkeit |
|---|---|---|
| Regelung | Art. 15 DSGVO. | Art. 20 DSGVO. |
| Gegenstand | Bestätigung der Verarbeitung, Auskunft über die personenbezogenen Daten, Informationen und eine Kopie der Daten, die Gegenstand der Verarbeitung sind. | Die betroffene Person erhält die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format. |
| Voraussetzung | Antrag der betroffenen Person; nach den Leitlinien des EDSA ist keine Begründung nötig. | Sofern die Verarbeitung auf einer Einwilligung nach Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a oder auf einem Vertrag nach Art. 6 Abs. 1 Buchstabe b beruht und mithilfe automatisierter Verfahren erfolgt. |
| Format | Bei elektronischem Antrag ein gängiges elektronisches Format; nach den Leitlinien des EDSA verlangt Art. 15 kein maschinenlesbares Format, sodass etwa PDF-Dateien geeignet sein können. | Strukturiertes, gängiges und maschinenlesbares Format. |
Wie wird das Auskunftsrecht geltend gemacht?
| Schritt | Was das bedeutet |
|---|---|
| Antrag | Die betroffene Person verlangt vom Verantwortlichen eine Bestätigung, ob personenbezogene Daten dieser Person verarbeitet werden; nach den Leitlinien des EDSA muss der Antrag nicht begründet werden. |
| Inhalt der Auskunft | Auskunft über die personenbezogenen Daten und Informationen, zu denen unter anderem die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer oder, falls das nicht möglich ist, die Kriterien für ihre Festlegung sowie das Beschwerderecht bei einer Aufsichtsbehörde gehören. |
| Kopie | Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind; für alle weiteren beantragten Kopien kann er ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). |
| Format | Stellt die betroffene Person den Antrag elektronisch, sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern die betroffene Person nichts anderes angibt. |
| Frist | Unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; über die Verlängerung und die Gründe unterrichtet der Verantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags. |
Schutz im Ernstfall
Vorbeugen
- Hat der Verantwortliche begründete Zweifel an der Identität der Person, die den Antrag stellt, kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind (Art. 12 DSGVO); nach Darstellung des BfDI hat der Verantwortliche jedoch sicherzustellen, dass personenbezogene Daten nicht an unbefugte Dritte herausgegeben werden.
- Über eine Fristverlängerung unterrichtet der Verantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags, zusammen mit den Gründen für die Verzögerung (Art. 12 Abs. 3 DSGVO).
- Bei offenkundig unbegründeten oder, insbesondere im Fall von häufiger Wiederholung, exzessiven Anträgen kann der Verantwortliche entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten berücksichtigt werden, oder sich weigern, aufgrund des Antrags tätig zu werden; den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags hat der Verantwortliche zu erbringen (Art. 12 Abs. 5 DSGVO); nach Darstellung des BfDI ist die Inanspruchnahme des Auskunftsrechts grundsätzlich kostenlos.
- Nach den Leitlinien des EDSA sollte der Verantwortliche keinen notariell beglaubigten Identitätsnachweis verlangen, es sei denn, dies ist notwendig, angemessen und steht im Einklang mit dem nationalen Recht.
Beispiele aus der Praxis
- Eine Person fragt bei einem Verantwortlichen nach, ob personenbezogene Daten über sie verarbeitet werden; ist dies der Fall, erhält sie Auskunft über diese Daten und über Informationen wie die Verarbeitungszwecke und die Kategorien der Daten.
- Stellt eine Person den Antrag elektronisch, stellt der Verantwortliche die Informationen in einem gängigen elektronischen Format zur Verfügung, sofern die Person nichts anderes angibt.
- Ist die Bearbeitung wegen der Komplexität und der Anzahl von Anträgen nicht innerhalb eines Monats möglich, unterrichtet der Verantwortliche die Person innerhalb eines Monats über die Verlängerung der Frist um weitere zwei Monate und nennt die Gründe für die Verzögerung.
- Verlangt ein Kunde von einem Versicherer Auskunft, bestätigt der Versicherer, ob Daten über den Kunden verarbeitet werden; ist dies der Fall, erhält der Kunde Auskunft über diese Daten, unter anderem über die Verarbeitungszwecke, und eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind; das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
