Recht & Geld Frühling/Sommer 2019

INFORMATIONSTECHNOLOGIERECHT
Wurden auch Sie von den neuen
Datenschutz-Anforderungen überrollt?
Was Verantwortliche und betroffene Personen über das
datenschutzrechtliche Auskunftsrecht wissen sollten
12
Expertenrat
Ronny Grunewald
Rechtsanwalt der Sozietät Büsing
Müffelmann & Theye
Fachanwalt für Informationstechnologierecht
Spezialisiert auf IT- und
Datenschutzrecht,
Öffentliches Recht und Vergaberecht
Seit dem Inkrafttreten
der DSGVO sehen sich
insbesondere Unternehmen
und Vereine,
aber auch Ärzte und
Steuerberater mit
einer Vielzahl neuer
datenschutzrechtlicher
Anforderungen
konfrontiert. Neben
zahlreichen Nachweisund
Informationspflichten
müssen auch
die sog. Betroffenenrechte
rechtskonform
umgesetzt und im
Alltag gelebt werden.
Fachanwälte für IT-
Recht können bei diesen
Problemstellungen
weiterhelfen.
www.bmt.eu
1. Wer ist zur Auskunft verpflichtet?
Nach Art. 15 Datenschutz-Grundverordnung
(DSGVO) ist der „Verantwortliche“ zur Auskunftserteilung
verpflichtet. Verantwortliche
können Unternehmen oder Webshop-Betreiber
sein, aber auch Vereine, Ärzte, Apotheker oder
Steuerberater. Kurzum: Jeder, der für eigene
Zwecke mit personenbezogenen Daten anderer
umgeht, ist Verantwortlicher.
2. Wer hat ein Auskunftsrecht?
Jede betroffene Person kann das Auskunftsrecht
geltend machen. Hierzu zählen neben
Kunden eines Unternehmens auch Mitarbeiter
und Bewerber gegenüber dem (potenziellen)
Arbeitgeber, Patienten, Mandanten oder Vereinsmitglieder.
Bei der Beantwortung einer
Auskunftsanfrage muss der Verantwortliche
sicherstellen, dass die Informationen nicht unbefugten
Dritten zur Verfügung gestellt werden.
Insbesondere bei mündlichen oder elektronischen
Anfragen ist besonderes Augenmerk auf
die Identifikation des Anfragenden zu legen. Bei
begründeten Zweifeln an der Identität des Anfragenden
kann der Verantwortliche gem. Art.
12 Abs. 6 DSGVO zusätzliche Informationen zur
Bestätigung der Identität, wie zum Beispiel die
Postadresse, verlangen.
3. Welche Daten sind mitzuteilen?
Das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO
ist zweistufig ausgestaltet: Auf der ersten Stufe
kann die betroffene Person eine Bestätigung
darüber verlangen, ob personenbezogene Daten
verarbeitet werden. Auf der zweiten Stufe muss
dann tatsächlich Auskunft erteilt werden, und
zwar über alle in Art. 15 DSGVO aufgeführten
Umstände, zum Beispiel die Verarbeitungszwecke,
die Kategorien personenbezogener Daten,
die verarbeitet werden, die geplante Speicherdauer
und das Bestehen von Betroffenenrechten.
4. Form und Frist
Die Auskunft muss unverzüglich, spätestens
aber innerhalb eines Monats erteilt werden
(Art. 12 Abs. 3 DSGVO). Bei komplexen Anfragen
oder wenn die Anzahl der Anfragen sehr
hoch ist, kann diese Frist um weitere zwei Monate
verlängert werden. Sie kann schriftlich,
elektronisch, oder – auf Wunsch der betroffenen
Person – auch mündlich erfolgen. Nach
Art. 15 Abs. 3 DSGVO stellt der Verantwortliche
der betroffenen Person hierfür eine Kopie der
personenbezogenen Daten, die Gegenstand der
Verarbeitung sind, zur Verfügung. Sofern die
Auskunftsanfrage elektronisch gestellt wird, ist
die Auskunft in einem gängigen elektronischen
Format (zum Beispiel PDF) zu erteilen, sofern
nicht anders gefordert.
5. Kosten
Grundsätzlich ist die Auskunft unentgeltlich zu
erteilen (Art. 12 Abs. 5 DSGVO). Nur bei wiederholten
und/oder offenkundig unbegründeten
oder exzessiven Anträgen kann der Verantwortliche
ein angemessenes Entgelt verlangen.
Er hat insoweit aber den Nachweis für den offenkundig
unbegründeten oder exzessiven Charakter
des Antrags zu erbringen.
6. Ausnahmen
Der Verantwortliche kann die Auskunft in bestimmten
Fällen verweigern, so zum Beispiel
wenn er glaubhaft nachweisen kann, dass er
den Betroffenen nicht identifizieren kann, oder
wenn es sich um offenkundig unbegründete
oder exzessive Anträge handelt. Auch hierfür ist
der Verantwortliche aber nachweispflichtig.
7. Sanktionen
Sofern die betroffene Person meint, dass der
Verantwortliche das Recht auf Auskunftserteilung
verletzt hat, kann sie nach Art. 77 Abs. 1
DSGVO form- und fristlos eine Beschwerde bei
der zuständigen Aufsichtsbehörde einreichen.
Stellt sich dann heraus, dass der Verantwortliche
tatsächlich die Auskunft nicht oder unvollständig
erteilt hat, drohen ihm Geldbußen von
bis zu 20 Millionen Euro oder 4 Prozent des gesamten
weltweit erzielten Jahresumsatzes (Art.
83 Abs. 5 DSGVO).
Büsing Müffelmann & Theye kann in Bezug
auf alle Fragen und Problemstellungen
rund um das IT- und Datenschutzrecht auf
ein überregionales Experten-Team zurückgreifen.
Wir beraten und unterstützen u. a.
Unternehmen, Ärzte, Kaufleute, Steuerberater
und Privatpersonen in allen datenschutzrechtlichen
Belangen.