Das Auskunftsrecht der DSGVO

Das Auskunftsrecht der DSGVO ist kein allgemeines Recht auf Zugang zu Informationen oder Akteneinsicht

In seinem aktuellen 47. Tätigkeitsbericht äußert sich der Hessische Landesdatenschutzbeauftragte zur Weite des Auskunftsanspruchs nach Art. 15 DSGVO.

Art. 15 Abs. 1 DSGVO legt fest, dass die betroffene Person das Recht hat, von einem Verantwortlichen eine Bestätigung darüber zu verlangen, ob betreffende personenbezogene Daten verarbeitet werden. Bejahen Verantwortliche die Verarbeitung personenbezogener Daten, so sind der betroffenen Person die in Art. 15 Abs. 1 lit. a bis h DSGVO und Abs. 2 DSGVO näher beschriebenen Informationen zur Verfügung zu stellen. Durch Art. 15 Abs. 3 DSGVO werden Verantwortliche zusätzlich verpflichtet, „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Darüber hinaus spricht Art. 15 Abs. 4 DSGVO vom „Recht auf Erhalt einer Kopie“. Daher wird mitunter vertreten, dass es sich bei dem Recht auf Kopie der Daten um eine inhaltliche Erweiterung im Sinne eines eigenständigen Herausgaberechts gegenüber dem in Art. 15 Abs. 1 DSGVO enthaltenen Auskunftsrecht handelt. Nach Ansicht der Hessischen Aufsichtsbehörde handelt es sich hierbei aber nach dem Wortlaut des Gesetzes nicht um ein losgelöstes Recht, sondern Verantwortliche müssen der in Art. 15 Abs. 3 DSGVO enthaltenen Verpflichtung auch ohne eine gesonderte oder explizite Geltendmachung der Betroffenen nachkommen.

Weitergehend ist zu beachten, dass der Europäische Gesetzgeber den Betroffenen nicht nur das in Art. 15 DSGVO enthaltene Auskunftsrecht gewährt, sondern mit dem Recht auf Datenübertragbarkeit in Art. 20 DSGVO einen eigenen Herausgabeanspruch zugunsten der Betroffenen begründet. Während das Auskunftsrecht den Betroffenen die Möglichkeit gibt, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen, und diese damit gegebenenfalls erst in die Lage versetzt, weitergehende Datenschutzrechte (z. B. Berichtigung oder Löschung) geltend zu machen, soll es das Recht auf Datenübertragbarkeit den Betroffenen erleichtern, über ihre Daten zu verfügen (z. B. durch Verschieben in eine andere IT-Umgebung oder durch Übertragung/Bereitstellung einer Kopie eines vorhandenen Datensatzes). Es sei daher nicht ersichtlich, warum Art. 15 Abs. 3, 4 DSGVO ein neben Art. 20 DSGVO stehendes Herausgaberecht begründen sollte.

Allerdings werden durch die Behörde auch die Grenzen des Rechts auf eine Kopie der Daten benannt. Die Bereitstellung einer strukturierten Zusammenfassung entspricht demnach auch dem Ziel der DSGVO, natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Sofern der Kopie-Begriff des Art. 15 Abs. 3 DSGVO weit ausgelegt werden würde, bestünde die Gefahr, dass das Auskunftsrecht des Art. 15 DSGVO als allgemeines Recht auf Zugang zu Informationen oder als Akteneinsichtsrecht verstanden wird, mit der Folge, dass die Geltendmachung von Art. 15 DSGVO nicht zur Verfolgung von Datenschutzzielen im Sinne der DSGVO, sondern zur Verwirklichung anderer Ziele wie einer allgemeinen Akteneinsicht oder die Herausgabe von Geschäfts- oder Prozessunterlagen  missbraucht wird. So ergibt sich beispielsweise aufgrund eines Auskunftsersuchens nicht etwa die Verpflichtung, der betroffenen Person eine Kopie sämtlicher E-Mail-Korrespondenz, die mit ihr geführt wurde, auszuhändigen. Ebenso wenig ergibt sich die Verpflichtung, bei einer Auskunftsanfrage eines Kunden diesem eine Kopie sämtlicher Rechnungen, die im Zuge der Geschäftsbeziehung angefallen sind, zu übermitteln.

Somit stellt der Hessische Landesdatenschutzbeauftragte eindeutig klar, dass die Pflicht, der betroffenen Person eine Kopie der Daten zur Verfügung zu stellen, nicht mit einem allgemeinen Recht auf Zugang zu Informationen oder einem Akteneinsichtsrecht gleichzusetzen ist.

[August 2019]