Auskunftsrechte müssen datenschutzkonform erfüllt werden
3. Juni 2019. Die EU-Datenschutz-Grundverordnung (DSGVO) stärkt spürbar die Rechte der betroffenen Personen, also derjenigen, deren personenbezogene Daten verarbeitet werden. Sie enthält umfangreiche Informationspflichten bei der Datenerhebung, Auskunftsrechte, Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, Widerspruchsrechte sowie das Recht, nicht einer automatisierten Einzelentscheidung unterworfen zu sein. Der Anspruch richtet sich in der Regel gegen den Verantwortlichen. Nähere Ausführungen hierzu finden Sie in unserem Newsletter Nr. 8 „Betroffenenrechte“.
Eine zentrale Stellung nimmt dabei das Auskunftsrecht ein, das in Artikel 15 DSGVO geregelt ist. Danach hat die betroffene Person Anspruch darauf zu erfahren, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf eine ganze Reihe in Artikel 15 aufgeführte Informationen.
Aber Achtung – es hat eben nur die betroffene Person Anspruch auf Auskunft. Sie muss als solche klar identifiziert sein. Der Verantwortliche hat sicherzustellen, dass die Auskunft nur der betroffenen Person (oder einer von ihr bevollmächtigten Person) erteilt wird. Bei einer nur telefonischen Anfrage wird das kaum möglich sein. Die Preisgabe der entsprechend nachgefragten personenbezogenen Daten an eine möglicherweise dritte und damit unberechtigte Person, stellt ihrerseits einen gravierenden Datenschutzverstoß dar. Es ist deshalb dringend anzuraten, niemals auf telefonischen „Zuruf“ hin einem vermeintlich Betroffenen solche Auskünfte zu erteilen. Die Standardaussage in solchen Fällen muss lauten: "Bitte stellen Sie Ihre Anfrage schriftlich, telefonisch können wir Ihnen aus datenschutzrechtlichen Gründen keine Auskunft erteilen."
Bestehen begründete Zweifel an der tatsächlichen Identität des Anfragenden können spezifische Angaben verlangt werden, die eine Identifizierung ermöglichen und bei dem Verantwortlichen bereits vorliegen (z. B. eine Mitgliedsnummer).