Nach Art. 15 DSGVO besteht ein umfassendes Recht auf Auskunft über Datenverarbeitungen, einschließlich des Rechts auf Kopie. Die Bearbeitung solcher Auskunftsansprüche stellt Unternehmen regelmäßig vor erhebliche Herausforderungen, weil Details zu Art und Umfang der Auskunftspflicht nur schrittweise von der Rechtsprechung geklärt werden. Unternehmen müssen gut begründen, wenn sie ein Auskunftsrecht einschränken oder verweigern. Bei unzureichender Bearbeitung von Auskunftsverlangen drohen Schadensersatzansprüche und Bußgelder, weshalb Sie entsprechende Prozesse nebst Muster-Antworten einrichten sollten.
Der Auskunftsanspruch nach Art. 15 DSGVO
Betroffene Personen haben das Recht, von Unternehmen oder auch Behörden umfassende Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Dies umfasst unter anderem den Zweck der Verarbeitung, die betroffenen Datenkategorien, die Empfänger der Daten, die Speicherdauer und das Bestehen weiterer Rechte wie Berichtigung, Löschung oder Einschränkung der Verarbeitung. Diese Informationen sind aus Sicht des Gesetzgebers essenziell, um Transparenz zu gewährleisten und Betroffenen die Kontrolle über ihre Daten zu ermöglichen.
Zudem begründet Art. 15 Abs. 3 DSGVO einen Anspruch auf Übergabe von Kopien zu den Datenverarbeitungsvorgängen. Der EuGH (C-487/21) verlangt hierbei prüfbare Reproduktionen der Unterlagen zur betroffenen Person.
Nach BGH (Urteil vom 05.03.2024 – VI ZR 330/21) umfasst der Herausgabeanspruch Arten von Dokumenten, die Datenverarbeitungen widerspiegeln. Korrespondenz der Beteiligten ist grundsätzlich als originalgetreue Kopie vorzulegen. Bei internen Vermerken, Telefon- und Gesprächsnotizen genügt es, auch nur Auszüge unter Ausschluss von Interna vorzulegen, wenn die personenbezogene Verarbeitung durch den Auszug klar wird und eine Vorlage des gesamten Dokuments nicht ausnahmsweise unerlässlich ist. Letzteres hätte der Betroffene nachzuweisen.
Die Vorlage der Unterlagen muss unverzüglich, spätestens jedoch innerhalb eines Monats erfolgen, wenn nicht eine ausnahmsweise Verlängerung auf insgesamt drei Monate aufgrund der Komplexität des Vorgangs angezeigt wird.
Grenzen und Herausforderungen bei der Auskunftserteilung
Der Auskunftsanspruch ist nicht grenzenlos. Art. 15 Abs. 4 DSGVO erlaubt es Unternehmen, die Auskunft zu verweigern oder einzuschränken, wenn die Rechte und Freiheiten anderer Personen betroffen sind. Dies ist insbesondere der Fall, wenn die Offenlegung personenbezogene Daten Dritter oder geschäftskritische Informationen preisgeben würde. In solchen Fällen ist im Rahmen einer sorgfältigen Prüfung zu beurteilen, ob eine Schwärzung oder Anonymisierung der sensiblen Informationen erfolgen kann.
Die Verhältnismäßigkeit spielt ebenfalls eine Rolle. Der Bundesfinanzhof (BFH) hat mit seiner Entscheidung vom 12.01.2025 (BFH IX R 25/22) beispielsweise klargestellt, dass hohe Anforderungen an die Verweigerung von Auskünften gestellt werden. Der BFH stellte klar, dass ein hoher Bearbeitungsaufwand nicht ausreicht, um eine Auskunft generell abzulehnen. Auch Daten in Papierakten müssen durchsucht werden, um den Anspruch zu erfüllen.
Haftungsrisiken bei fehlerhafter Bearbeitung
Unternehmen, die Auskunftsersuchen unzureichend oder verspätet bearbeiten, setzen sich finanziellen Risiken aus. Gerichte haben Schadensersatzzahlungen zugesprochen, wenn ein Betroffener durch unvollständige oder nicht fristgerechte Antworten geschädigt wurde – sofern er einen Schaden nachweisen kann (BAG 8 AZR 215/23). Die instanzgerichtliche Entscheidungspraxis ist hier vielschichtig. Unternehmen sollten sich nicht auf Einzelfallentscheidungen verlassen, sondern strukturiert und rechtssicher auf Anfragen reagieren.
Chancen für Unternehmen: Datenminimierung und effizientere Prozesse
Die strenge Handhabung von Auskunftsansprüchen kann auch positive Effekte haben. Unternehmen werden dazu bewogen, ihre Datenverarbeitung effizienter zu gestalten, Prozesse zu automatisieren und unnötige Daten zu löschen. Eine strukturierte Archivierung und eine fortschreitende Digitalisierung erleichtern nicht nur die Bearbeitung von Auskunftsanfragen, sondern reduzieren auch datenschutzrechtliche Risiken insgesamt.
Praktische Empfehlungen für Unternehmen
Um Risiken zu minimieren, sollten Sie folgende Maßnahmen ergreifen:
- Auskunftsverlangen ernst nehmen und fristgerecht beantworten.
- Standardisierte Antwort-Muster nutzen, um formale Fehler zu vermeiden.
- Anfragen präzisieren lassen, wenn der Umfang unklar ist.
- Daten Dritter und geschäftskritische Informationen sorgfältig prüfen und gegebenenfalls schwärzen.
- Schadensersatzansprüche Betroffener kritisch prüfen.
Durch eine proaktive Vorbereitung auf Auskunftsansprüche können Sie nicht nur Compliance-Risiken minimieren, sondern langfristig von einer effizienteren Datenverwaltung profitieren. Richten Sie entsprechende Prozesse mit Muster-Schreiben ein.
