auskunftsersuchen-art-15

/datenschutzrecht:auskunftsersuchen-art-15

Zweck

Art. 15-Anfragen sind oft Vorbereitung einer Forderung (Schadensersatz Art. 82 DSGVO, Bewerber-Diskriminierung, Mitarbeiterstreit). Dieser Skill prüft Identität, Umfang und Fristen und entwirft eine vollständige, nicht über- und nicht unterbordige Antwort.

Eingaben

• Mandat (Verantwortlicher)
• Anfragender (Identität, Beziehung zum Verantwortlichen)
• Anfragezeitpunkt (Fristbeginn)
• Bekannte Verarbeitungen (CRM, Marketing, HR, Rechnungswesen)
• Vorgeschichte (Bewerbung abgelehnt? Kündigung? Streit?)

Ablauf

1. Identitätsprüfung (Art. 12 Abs. 6 DSGVO)

Bei begründeten Zweifeln Identitätsnachweis verlangen. Verhältnismäßig: Geburtsdatum + Adresse, nicht Ausweiskopie pauschal (EDPB-Leitlinie 01/2022).

2. Fristen (Art. 12 Abs. 3 DSGVO)

• 1 Monat ab Eingang, Verlängerung um 2 Monate bei Komplexität (mit Begründung an Betroffenen vor Ablauf des ersten Monats).
• Eingangsbestätigung umgehend empfohlen.

3. Umfang (Art. 15 Abs. 1 lit. a–h DSGVO)

Auskunft über:

a) Verarbeitungszwecke b) Kategorien personenbezogener Daten c) Empfänger / Empfängerkategorien (insb. Drittlandempfänger) d) Geplante Speicherdauer / Kriterien e) Recht auf Berichtigung, Löschung, Einschränkung, Widerspruch f) Beschwerderecht bei Aufsichtsbehörde g) Herkunft, wenn nicht beim Betroffenen erhoben h) Automatisierte Entscheidungsfindung / Profiling (Art. 22)

4. Datenkopie (Art. 15 Abs. 3 DSGVO)

Kopie aller verarbeiteten Daten, soweit sie nicht in den Kreis der Beschränkungen fallen (Art. 15 Abs. 4 DSGVO; § 34 BDSG).

Format: maschinenlesbar oder lesbares PDF; bei elektronischer Anfrage standardmäßig elektronisch.

5. Beschränkungen (Art. 15 Abs. 4 DSGVO; § 34 BDSG)

• Rechte und Freiheiten anderer dürfen nicht beeinträchtigt werden (insb. Geschäftsgeheimnisse, Daten Dritter).
• Spezielle Ausnahmen § 34 Abs. 1 BDSG (Auskunft entgegen RA-Schweigepflicht / Pseudonymisierung / Aufbewahrungs- vs. Löschpflicht).

6. Kostenfreiheit / Ausnahmen Art. 12 Abs. 5 DSGVO

Grundsätzlich unentgeltlich. Bei offensichtlich unbegründeten / exzessiven Anträgen: angemessenes Entgelt oder Ablehnung; Begründungslast beim Verantwortlichen.

7. Sonderfälle Beschäftigtendatenschutz

§ 26 BDSG. Auskunft über interne Bewertungen (Bewerbungsnotizen) ist umstritten — h.M.: ja, soweit nicht Geschäftsgeheimnis. Bei laufendem Arbeitsverhältnis: zusätzliches Beschwerderecht des Betriebsrats nach § 80 BetrVG beachten.

Quellen

Statute

• Art. 15 DSGVO (Auskunft)
• Art. 12 DSGVO (Verfahren)
• Art. 82 DSGVO (Schadensersatz)
• § 34 BDSG (Beschränkungen)
• § 26 BDSG (Beschäftigtendaten)

Leitlinien

• EDPB-Leitlinie 01/2022 zu Betroffenenrechten – https://edpb.europa.eu/

Rechtsprechung

• EuGH, Urt. v. 04.05.2023 – C-487/21, NJW 2023, 2186 (Datenkopie weitreichend) [unverifiziert – prüfen]
• EuGH, Urt. v. 26.10.2023 – C-307/22, NZA 2023, 1429 (Auskunft im Beschäftigungsverhältnis) [unverifiziert – prüfen]
• BAG, Urt. v. 27.04.2021 – 2 AZR 342/20, NZA 2021, 1233 (Bewerber-Auskunft) [unverifiziert – prüfen]

Ausgabeformat

DSGVO-AUSKUNFTSERSUCHEN – Antwortentwurf — <Mandat-ID> — <Datum>

I.   Identitätsprüfung               [✅ / ⚠️ Nachweis verlangt]
II.  Fristprüfung                    Eingang: <Datum> | Fristende: <+1 Monat>
III. Umfang (Art. 15 Abs. 1)
     a) Verarbeitungszwecke          <…>
     b) Datenkategorien              <…>
     c) Empfänger                    <…>
     d) Speicherdauer                <…>
     e) Betroffenenrechte            (Standardpassus)
     f) Beschwerderecht              (Standardpassus)
     g) Herkunft                     <…>
     h) Profiling / autom. Entscheidung  <…>

IV.  Datenkopie (Art. 15 Abs. 3)
     Anlage: <Liste>
     Beschränkungen (Art. 15 Abs. 4 / § 34 BDSG):
       - <…>

V.   Offene Punkte
     - <…>

Empfehlung: <…>

Risiken / typische Fehler

• Frist verpasst → ggf. Schadensersatz Art. 82 DSGVO, Beschwerde bei Aufsichtsbehörde.
• Über-Auskunft → Verletzung Dritter (Art. 15 Abs. 4) → eigene Haftung.
• Unter-Auskunft → Wiederholungsersuchen + Schadensersatzandrohung.
• Identitätsprüfung übersehen → Datenweitergabe an Unbefugten (Art. 32 DSGVO Verletzung).
• Geschäftsgeheimnisse nicht geschwärzt → § 17 UWG / Art. 15 Abs. 4 Verstoß.