Das Recht auf Auskunft

Die DSGVO legt sehr genau fest, in welcher Art und Weise einer betroffenen Person vom Verantwortlichen Auskunft über die Verarbeitung der diese Person betreffenden personenbezogenen Daten zu erteilen ist.

Datenauskunft

Die betroffene Person, deren personenbezogene Daten verarbeitet werden, hat das Recht folgende Informationen vom Verantwortlichen zu erhalten:

 die Verarbeitungszwecke;

  1. die Kategorien personenbezogener Daten
  2. die Empfänger oder Kategorien von Empfängern
  3. die geplante Speicherdauer oder die Kriterien für die Festlegung der Speicherdauer;
  4. das Bestehen eines Rechts auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts 
  5. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
  6. alle verfügbaren Informationen über die Herkunft der Daten;
  7. das Bestehen einer automatisierten Entscheidungsfindung einschließlichProfiling und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person

Weiters muss eine Kopie der personenbezogenen Daten zur Verfügung gestellt werden, wobei dadurch Rechte dritter Personen nicht verletzt werden dürfen.

 

ErwG 63 der DSGVO:

Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.

 

ErwG 64 der DSGVO:

Der Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Fall von Online-Kennungen. Ein Verantwortlicher sollte personenbezogene Daten nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können.

Fristen

Die Auskunft ist unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang des Antrags zu erteilen. 

 

Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.

 

Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

 

Wird der Verantwortliche nicht tätig, so informiert dieser die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats  über die Gründe der Untätigkeit und über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs.

Sanktion

Wenn der Verantwortliche ein Aufkunftsersuchen einer betroffenen Person nicht ordnungsgemäß erfüllt, dann hat diese die Möglichkeit, eine Beschwerde bei der Aufsichtsbehöre einzulegen. 

 

Die Strafdrohung des Art 83 Abs 5 DSGVO bei bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs , je nachdem, welcher der Beträge höher ist.

 

 


Prüfungsarbeiten und Auskunftsrecht

 

Einsicht in Prüfungsergebnisse – Umfang des Auskunftsrechtes nach der DatenschutzRL (RL 95/46) – Entscheidung des EuGH vom 20.12.2017, RS C-434/16

 

 

 

 

 

Die Antworten eines Prüflings und die Anmerkungen des Prüfers stellen personenbezogenen Daten dar, und sind daher im Rahmen des Rechts auf Auskunft zu beauskunften.

 

 

 

 

In dieser Entscheidung nahm der EuGH auch auf die DSGVO Bezug wie folgt:

 

 

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1) gilt ausweislich ihres Art. 99 Abs. 2 ab dem 25. Mai 2018. Gemäß Art. 94 Abs. 1 dieser Verordnung wird die Richtlinie 95/46 mit Wirkung von diesem Datum aufgehoben.

 

Die Verordnung 2016/679 sieht in ihrem Art. 15 („Auskunftsrecht der betroffenen Person“) Folgendes vor:

 

„(1)      Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten …

 

 

(3)      Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. …

 

(4)      Das Recht auf Erhalt einer Kopie gemäß Absatz [3] darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

 

In Art. 23 („Beschränkungen“) der Verordnung 2016/679 heißt es:

 

„(1)      Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 … im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

 

 

e)      den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit;

 

 

i)      den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;

 

…“

Der Sachverhalt vor dem EuGH

 

Herr Nowak war Trainee Accountant (Wirtschaftsprüfer/Steuerberater in Ausbildung) und hatte die Prüfungen des Institute of Chartered Accountants of Ireland […] mit Erfolg abgelegt. Er fiel jedoch durch die Prüfung „Strategic Finance und Management Accounting“ durch. […]

 

Nachdem Herr Nowak im Herbst 2009 zum vierten Mal durch diese Prüfung durchgefallen war, reichte er zunächst eine Beschwerde ein, um ihr Ergebnis anzufechten. Nachdem diese Beschwerde im März 2010 zurückgewiesen worden war, stellte er im Mai 2010 gemäß Section 4 des Datenschutzgesetzes einen Antrag auf Auskunft, der sich auf sämtliche ihn betreffenden und im Besitz der CAI befindlichen personenbezogenen Daten bezog.

 

Die Prüfungsstelle verweigerte die Herausgabe der Prüfungsarbeit, und Herr Nowak wandte sich an den Datenschutzbeauftragten, und auch dieser vertrat die Ansicht, dass die Prüfungsarbeit keine personenbezogenen Daten beinhalte. Herr Nowak wandte sich an das Gericht, aber auch dies war derselben Ansicht und Herr Nowak ging durch alle Instanzen bis zum Supreme Court, der u.a. die folgenden Frage dem EuGH vorlegte:

 

Können Informationen, die von einem Prüfling in einer berufsbezogenen Prüfung in seiner Antwort bzw. als Antwort aufgezeichnet wurden, personenbezogene Daten im Sinne der Richtlinie 95/46 darstellen?

 


Die Rechtsansicht des EuGH:

 

Es stellt sich die Frage, ob im Rahmen der DS-RL (RL 95/46) „die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaige Anmerkungen des Prüfers dazu „personenbezogene Daten“ […] darstellen.

 

Die Frage vor dem EuGH war, ob die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaige Anmerkungen des Prüfers dazu Informationen über den Prüfling im Sinne von Art. 2 Buchst. a der Richtlinie 95/46 darstellen. Durch die Verwendung des Ausdruckes „alle Informationen“ ist klargestellt, dass der Begriff „weit“ auszulegen ist. Der Begriff ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Es ist ausreichen, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

 

Der EuGH kommt zum Schluss, dass „die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung Informationen darstellen, die aufgrund ihres Inhalts, ihres Zwecks und ihrer Auswirkungen Informationen über diesen Prüfling darstellen.“ Auch „die Anmerkungen des Prüfers zu den Antworten des Prüflings“ sind „Informationen über den betreffenden Prüfling“, wobei es keinen Unterschied macht, dass „diese Anmerkungen zugleich Informationen über den Prüfer darstellen.“

 

Der EuGH hat erklärt, dass das Recht auf Auskunft und Berichtigung auch in Bezug auf die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaige Anmerkungen des Prüfers dazu gerechtfertigt sein können.

 

Der EuGH hat Weiters festgehalten, dass die Rechte auf Auskunft und Berichtigung nach Art. 12 Buchst. a und b der Richtlinie 95/46 nicht auf Prüfungsfragen erstrecken, die als solche keine personenbezogenen Daten des Prüflings darstellen.        

 

 

 

Auskunft & Betriebs- und Geschäftsgeheimnis

Können Betriebs- und Geschäftsgeheimnisse des Verantwortlichen Grenzen für das Auskunftsrecht bringen?

mehr lesen 0 Kommentare