EU-Datenschutzaufsichtsbehörden befürworten weites Auskunftsrecht

Der Europäische Datenschutzausschuss (EDSA), auch bekannt unter dem Namen European Data Protection Board, hat eine erste Fassung seiner Leitlinien zum Recht auf Auskunft nach Art. 15 DSGVO veröffentlicht. Der EDSA ist das wichtigste Gremium der europäischen Datenschutzaufsichtsbehörden. Es besteht aus Vertretern der Datenschutzbehörden aller EU-Mitgliedsstaaten und dem Europäischen Datenschutzbeauftragten, der für den Datenschutz bei den Organen und Einrichtungen der EU zuständig ist.

In dem insgesamt 60 Seiten starken Dokument, welches der EDSA bereits in seiner Sitzung am 18. Januar 2022 beschlossen hatte und welches nun veröffentlicht wurde, setzt sich die Datenschutzaufsichtsbehörden mit zahlreichen, in der Praxis teilweise äußerst umstrittenen Fragen auseinander. So geht der EDSA neben der Form der Übermittlung der jeweiligen Auskunft an den Betroffenen auch auf die formellen Anforderungen an Auskunftsersuchen ein und macht Vorgaben in Bezug auf die Identifikation des Betroffenen. Auch auf die Frage, wann ein Auskunftsersuchen als offenkundig unbegründet oder exzessiv angesehen und damit abgelehnt werden kann, geht der EDSA ein. Die Unbegründetheit von Auskunftsersuchen wird in der Praxis recht häufig zur Abwehr von Auskunftsersuchen vorgebracht und war bereits häufiger Gegenstand von gerichtlichen Entscheidungen, insbesondere auch im Arbeitsrecht.

Weite Auslegung für Betroffene

Für wenig Überraschung sorgt in der Gesamtbetrachtung, dass die Behörden hinsichtlich des Auskunftsanspruchs eine weite Auslegung befürworten, während die Möglichkeiten des Verantwortlichen, das Auskunftsersuchen zurückzuweisen, eng ausgelegt werden sollen. Das ist gut für Betroffene und stellt Unternehmen und andere Verantwortliche aber vor große Herausforderungen.

Insofern ist erfreulich, dass es sich zum jetzigen Zeitpunkt lediglich um einen Entwurf handelt, mit welchem der EDSA im Rahmen eines öffentlichen Konsultationsverfahrens insbesondere Verbände und Interessenvertreter zur Einreichung von Stellungnahmen aufruft – die Leitlinien sind also nicht in Stein gemeißelt. Darüber hinaus ist zu berücksichtigen, dass es sich bei Leitlinien und Stellungnahmen der Datenschutzaufsichtsbehörden stets um Empfehlungen handelt, denen jedoch keine Bindungswirkung zukommt. Dies hat der EDSA unlängst in einer Erklärung noch einmal ausdrücklich klargestellt. Die ersehnte Rechtssicherheit können die Leitlinien daher nicht mit sich bringen – sie sind jedoch ein bedeutender Impuls für die weitere Debatte und wichtiger Orientierungspunkt für den Umgang mit Auskunftsersuchen.

Um die mit einem Auskunftsersuchen verbundenen Herausforderungen zu meistern, sollten sich Verantwortliche frühzeitig mit den in diesem Falle auftretenden Fragen vertraut machen und die erforderlichen Prozesse zur Beantwortung der Ersuchen aktiv und präventiv ausgestalten. Dies betrifft neben einer Festlegung der jeweiligen Verantwortlichen vornehmlich die Etablierung von Abläufen zur Überprüfung des Ersuchens und der Identität des Betroffenen sowie die Identifikation der für das jeweilige Ersuchen relevanten datenverarbeitenden Systeme. Zudem empfiehlt es sich, mittels einer Praxisübung den eingerichteten Prozess zu überprüfen und den Ernstfall zu proben.

(fo)