Neue Leitlinien zum Auskunftsrecht fordern Unternehmen
Das datenschutzrechtliche Auskunftsrecht ist immer wieder Anlass für zahlreiche Einzelfragen oder gar Auseinandersetzungen. Hierzu hat die Rechtsprechung in den letzten Monaten mehrmals einzelne Themen aufgegriffen und entschieden (die UIMC berichtete). Datenschutzexperten sind besonders gefordert, diese komplexen Regelungen in ihren Unternehmen umzusetzen und den Datenschutz für alle Beteiligten zu gewährleisten. „Die jüngsten Entscheidungen der Gerichte und die Initiativen der Datenschutzbehörden zeigen deutlich, dass der Schutz der Rechte der Betroffenen ein dynamisches und anspruchsvolles Feld ist. Unternehmen müssen sich kontinuierlich hinterfragen und sicherstellen, dass sie den gesetzlichen Anforderungen entsprechen“, sagt Dr. Jörn Voßbein, mehrfach bestellter Datenschutzbeauftragter. Die Rechtsprechung und die Initiativen nehmen wir im Weiteren genauer in den Fokus.
Aktuelle Rechtsprechung:
Konkrete Empfänger statt Kategorien: Der Europäische Gerichtshof (EuGH) entschied, dass grundsätzlich die konkreten Empfänger namentlich genannt und nicht nur die Empfängerkategorien angegeben werden müssen (Urteil vom 12.01.2023, C-154/21).
- Recht auf originalgetreue Datenkopie: Das Recht auf eine Datenkopie umfasst die originalgetreue und verständliche Reproduktion aller personenbezogenen Daten, einschließlich Kopien von Dokumentenauszügen oder Auszügen aus Datenbanken (Urteil vom 04.05.2023, C-487/21).
- Auskunft über Zeit und Grund der Datenabfrage: Jeder hat das Recht zu erfahren, wann und warum seine personenbezogenen Daten abgefragt wurden (Urteil vom 22.06.2023, C-579/21).
- Begründungsloser Auskunftsantrag: Ein Auskunftsantrag muss nicht begründet werden und kann auch andere als datenschutzrechtliche Gründe verfolgen, solange diese nicht rechtsmissbräuchlich sind (Urteil vom 26.10.2023, C-307/22).
- Anspruch auf vollständige Kopien: Der Bundesgerichtshof (BGH) stellte klar, dass der Anspruch auf eine Kopie kein eigenes Recht ist, sondern die Form der Auskunft konkretisiert. Der Anspruch umfasst vollständige Kopien von vom Betroffenen verfassten Schreiben und E-Mails (Urteil vom 05.03.2024, VI ZR 330/21).
Initiativen und Maßnahmen:
Die europäischen Datenschutzbehörden haben die Leitlinien zum Auskunftsrecht aktualisiert und strenge Anforderungen an die Erteilung von datenschutzrechtlichen Auskünften formuliert. Der Europäische Datenschutzausschuss (EDSA) hat nun die Umsetzung des Auskunftsrechts als Thema seiner dritten koordinierten Kampagne ausgewählt und die europaweite Aktion „Coordinated Enforcement Framework (CEF)“ gestartet. Mehrere deutsche Datenschutzaufsichtsbehörden beteiligen sich an dieser Initiative.
Ziel der Maßnahmen
Mit dieser koordinierten Maßnahme soll ermittelt werden, ob Anpassungen an den Leitlinien erforderlich sind oder ob die Verantwortlichen weiterhin sensibilisiert werden müssen. Ein Fragebogen soll an Organisationen in den teilnehmenden Mitgliedsstaaten versandt werden. Sollten sich Anzeichen für Missstände ergeben, werden weitere Untersuchungen eingeleitet. Die Ergebnisse werden gesammelt und in einem Bericht veröffentlicht, um einen umfassenderen Einblick in das Thema zu ermöglichen und gezielte Maßnahmen auf EU-Ebene zu ergreifen.
„Unsere Aufgabe ist es, unseren Kunden Lösungen zu bieten, die nicht nur den aktuellen rechtlichen Anforderungen entsprechen, sondern auch zukünftige Entwicklungen im Datenschutz berücksichtigen. Wir unterstützen sie dabei, die Rechte der Betroffenen zu wahren und die Geschäftsprozesse pragmatisch zu unterstützen“, ergänzt Dr. Jörn Voßbein.
