§ 6 Rechte des Betroffenen / B. Auskunftsrecht der betroffenen Person, Art. 15 DSGVO

Rz. 3

Das Auskunftsrecht der betroffenen Person ist in Art. 15 DSGVO verankert. Er ergänzt die Informationspflichten des Verantwortlichen aus Art. 13 und 14 DSGVO^[1] und trägt damit ebenfalls zur Durchsetzung des Transparenzgrundsatzes bei. Im direkten Vergleich – z.B. zur aktuellen Umsetzung der Auskunftsrechte in § 34 BDSG,^[2] der mit insgesamt neun Absätzen selbst für den fachkundigen Berater nur schwer zu lesen und zu verstehen war – ist dies eine wesentlich klarere, einfachere und definiertere Form.

Rz. 4

Der Auskunftsanspruch gestaltet sich zweistufig:

1.	Jede potentiell betroffene Person kann allgemein, d.h. nicht anlassbezogen[3] zunächst eine Bestätigung darüber verlangen, ob der Verantwortliche überhaupt personenbezogene Daten über den Betroffenen verarbeitet.
2.	Sofern dies der Fall ist, gewährt Art. 14 Abs. 1 DSGVO der betroffenen Person einen konkreten Anspruch dahingehend zu erfahren, welche Daten, zu welchen Zwecken beim Verantwortlichen verarbeitet werden und ob diese Daten auch Dritten zugänglich gemacht wurden, werden oder werden sollen.

Die nähere inhaltliche Ausgestaltung regeln die Buchstaben a) bis h) sowie die Absätze 2 und 3.

[1] So auch Bäcker, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 15 Rn 1.

[2] Hierzu ausführlich Kazemi/Leopold, Datenschutzrecht in der anwaltlichen Beratung, 2011, S. 244 ff.

[3] In Form des Nach- oder Ausforschungsanspruches.

I. Nachforschungsanspruch – Werden überhaupt Daten über mich verarbeitet?

Rz. 5

Art. 15 Abs. 1 Hs. 1 DSGVO normiert, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Die Formulierung "die betroffene Person" lässt auf den ersten Blick eine Einschränkung vermuten; tatsächlich handelt es sich jedoch bei Art. 15 Abs. 1 Hs. 1 DSGVO um einen anlasslosen (Nachforschungs-)Auskunftsanspruch, den grundsätzlich jede natürliche Person, die glaubt, ein Verantwortlicher könnte ggf. personenbezogene Daten über sie verarbeiten, geltend machen kann. Der in diesem Sinne befragte Verantwortliche hat dann zunächst festzustellen, ob er Daten über den Anfragenden verarbeitet. Beschränkt sich das Auskunftsersuchen allein auf die Frage danach, ob Daten verarbeitet werden, so teilt der Verantwortliche dies dem Betroffenen mit. Weitergehende Auskünfte muss er in diesem Fall nicht erbringen, insbesondere sind die Informationen nach Absatz 1 Buchstaben a) bis h) nicht ohne konkretes Verlangen der betroffenen Person an diese zu übermitteln. Der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO ist insoweit zweistufig^[4] aufgebaut. Die betroffene Person kann sich also entscheiden, ob sie fragt:

▪	"Verarbeiten Sie personenbezogene Daten über meine Person?" oder
▪	"Verarbeiten Sie Daten über meine Person und wenn ja, welche und in welcher Form?"

Rz. 6

Aus Sicht des Verantwortlichen spielt auch Art. 11 DSGVO eine bedeutende Rolle. Dieser ist, soweit die Identifizierung der betroffenen Person durch den Verantwortlichen nicht mehr möglich ist, nicht verpflichtet, zur bloßen Einhaltung der DSGVO zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren bzw. identifizieren zu können (Art. 11 Abs. 1 DSGVO). Kann der Verantwortliche die anfragende Person anhand der ihm vorliegenden Informationen nicht oder nicht mehr identifizieren, ist er berechtigt, die Frage, ob personenbezogene Daten über den Anfragenden verarbeitet werden, mit Nein zu beantworten (Art. 11 Abs. 2 S. 2 DSGVO).Kann er das Vorhandensein personenbezogener Daten einer betroffenen Person nicht gänzlich ausschließen, muss er jedoch darauf hinweisen, dass er anhand der vom Betroffenen im Rahmen einer Nachforschungsanfrage übermittelten Daten nicht feststellen kann, ob personenbezogene Daten über sie verarbeitet werden oder nicht.^[5] Art. 11 Abs. 2 S. 2 DSGVO normiert in diesem Fall die Unanwendbarkeit der Betroffenenrechte aus den Art. 15–20 DSGVO. Dies gilt mit der Einschränkung, dass die betroffene Person zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereitstellen könne, um ihre Identifizierung zu ermöglichen. Eine Verpflichtung des Verantwortlichen, die betroffene Person hierauf hinzuweisen, ergibt sich aus der DSGVO nicht.

[4] In diesem Sinne auch Paal, in: Paal/Pauly (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 15 Rn 22.

[5] Hierzu auch Art. 12 Abs. 2 DSGVO.

II. Auskunftsanspruch – Welche Daten werden von wem, für wen verarbeitet und was kann ich dagegen tun?

Rz. 7

Soweit die betroffene Person gegenüber dem Verantwortlichen ihren Auskunftsanspruch aus Art. 15 Abs. 1 2. Hs. DSGVO erhebt, ist der Verantwortliche verpflichtet, der betroffenen Person umfassend Auskunft über die verarbeiteten Daten zu erteilen. Die Auskunft gliedert sich in einen "allgemeinen Teil" und einen "besonderen Teil". Letzterer umfasst eine Auflistung sämtlicher über die betroffene Person gespeicherten Daten und sonstiger personenbezogenen Informationen, die in Kopie an die betroffene Person auszuhändigen sind. Der allgemeine Teil der Auskunft ähnelt stark den Informationen, die dem Betroffenen nach Art. 1...