Komponenten des Auskunftsrechts

Art. 15 Abs. 1 und 2 DSGVO enthalten drei Komponenten des Auskunftsrechts, die zusammen das Auskunftsrecht bilden.

Nachdem wir uns in früheren Beiträgen uns mit dem „Umfang des Auskunftsrechts“ und dem „Weitgehenden Auskunftsanspruch eines Betroffenen“ beschäftigt haben, gehen wir heute an dieser Stelle auf die drei Komponenten ein, die das Auskunftsrecht bilden:

• erstens die Bestätigung, ob personenbezogene Daten der antragstellenden Person verarbeitet werden oder nicht, und wenn ja,
• zweitens den Zugang zu diesen Daten und
• drittens die Information über die Verarbeitung z. B. über den Zweck, die Datenkategorien und die Empfänger, die Dauer der Verarbeitung, die Rechte der betroffenen Personen und geeignete Garantien im Falle der Übermittlung in Drittländer.

1. Auskunft darüber, ob personenbezogene Daten verarbeitet werden oder nicht

Wenn die betroffenen Personen einen Antrag auf Auskunft stellen, müssen sie zunächst wissen, ob der Verantwortliche sie betreffende personenbezogene Daten verarbeitet oder nicht. Diese Information ist somit der erste Bestandteil des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO. Verarbeitet der Verantwortliche die personenbezogenen Daten der betroffenen Person nicht, beschränken sich die zu erteilenden Informationen auf die Bestätigung, dass keine personenbezogenen Daten der betroffenen Person verarbeitet werden (Negativauskunft). Verarbeitet der für die Verarbeitung Verantwortliche Daten über die betroffene Person, muss er dies der betroffenen Person bestätigen. Diese Bestätigung kann gesondert mitgeteilt werden oder als Teil der Informationen über die verarbeiteten personenbezogenen Daten erfolgen

2. Zugang zu den verarbeiteten personenbezogenen Daten

Der Zugang zu personenbezogenen Daten ist die zweite Komponente des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO und bildet den Kern dieses Rechts. Es bezieht sich auf den Begriff der personenbezogenen Daten gemäß der Definition in Art. 4 Abs. 1 DSGVO. Abgesehen von grundlegenden personenbezogenen Daten wie Name und Adresse kann eine unbegrenzte Anzahl von Daten unter diese Definition fallen, sofern sie in den sachlichen Anwendungsbereich der DSGVO fallen, insbesondere im Hinblick auf die Art und Weise ihrer Verarbeitung (Art. 2 DSGVO). Zugang zu personenbezogenen Daten bedeutet hier Zugang zu den eigentlichen personenbezogenen Daten selbst, nicht nur eine allgemeine Beschreibung der Daten oder ein bloßer Verweis auf die Kategorien der von dem Verantwortlichen verarbeiteten personenbezogenen Daten. Gelten keine Beschränkungen oder Einschränkungen, so haben die betroffenen Personen das Recht, je nach Umfang des Antrags Auskunft über alle verarbeiteten sie betreffenden Daten oder über Teile davon zu erhalten. Die Verpflichtung, Auskunft über die Daten zu erteilen, hängt nicht von der Art oder der Quelle dieser Daten ab. Sie gilt auch dann in vollem Umfang, wenn die anfragende Person dem Verantwortlichen die Daten ursprünglich zur Verfügung gestellt hatte, da sie darauf abzielt, die betroffene Person über die tatsächliche Verarbeitung dieser Daten durch den Verantwortlichen zu informieren.

3. Informationen über die Verarbeitung und über die Rechte der betroffenen Person

Die dritte Komponente des Auskunftsrechts sind die Informationen über die Verarbeitung und über die Rechte der betroffenen Person, die der Verantwortliche gemäß Art. 15 Abs. 1 Buchst. a bis h und 15 Abs. 2 zur Verfügung stellen muss. Diese Informationen könnten beispielsweise aus dem Datenschutzhinweis des Verantwortlichen oder aus dem Verzeichnis der Verarbeitungstätigkeiten des Verantwortlichen gemäß Art. 30 DSGVO entnommen werden, müssen aber möglicherweise aktualisiert und auf die antragstellende betroffene Person zugeschnitten werden.