Koordinierte Aktion: Datenschutzrechtliche Auskunft?
13.02.2025
Zusammenfassung
Datenschutz-Aufsichtsbehörden: Auswertung der europaweiten Prüfaktion aus dem Jahr 2024 zum Thema Auskunft (und Ankündigung im Jahr 2025 europaweit das Thema Datenlöschung prüfen zu wollen).
8 Minuten Lesezeit
Das Auskunftsrecht ist eine der zentralen Säulen des europäischen Datenschutzrechts. Das zeigt bereits ein Blick in Art. 8 der Europäischen Grundrechtecharta: „Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten […].“ – Doch wie gut setzen Unternehmen es tatsächlich um? Dieser Frage ging der Europäische Datenschutzausschuss (EDSA) im Rahmen der europaweiten Prüfaktion 2024 nach. Gemeinsam haben die nationalen Datenschutz-Aufsichtsbehörden aus ganz Europa die Praktiken von über 1100 Verantwortlichen analysiert.
„Der Abschlussbericht des EDSA zeichnet ein grundsätzlich ermutigendes Bild. Die Mehrheit der teilnehmenden Aufsichtsbehörden stellte fest, dass die befragten Verantwortlichen nach eigenen Angaben in einem durchschnittlichen bis hohen Maß die Anforderungen des Auskunftsrechts berücksichtigen“, so Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit und diesjährige Vorsitzende der Datenschutzkonferenz.
Ergebnisse der Prüfung: Wo es hakt und wo es gut läuft.
Die europaweite Prüfaktion hat wertvolle Erkenntnisse geliefert, sowohl für Behörden-, als auch für Unternehmensseite – von kleinen und mittelständischen Unternehmen bis hin zu großen Konzernen. Der Bericht identifiziert verschiedene Herausforderungen, die sich in der Praxis immer wieder zeigen:
- Fehlende interne Prozesse: Viele Unternehmen haben keine klar dokumentierten Abläufe zur Bearbeitung von Auskunftsanfragen. Das führt zu Verzögerungen oder Unsicherheiten bei der Umsetzung.
- Übermäßige Einschränkungen: Einige Unternehmen legen das Auskunftsrecht zu restriktiv aus und lehnen Anfragen pauschal ab, indem sie sich unberechtigterweise auf Ausnahmen berufen.
- Unverhältnismäßige Hürden: Manche Verantwortliche verlangen unnötig viele Identifikationsdokumente oder setzen komplexe formale Anforderungen, die das Stellen einer Anfrage erschweren.
Für jede dieser Herausforderungen gibt der Bericht konkrete, aber nicht verbindliche Empfehlungen, wie Verantwortliche das Auskunftsrecht besser umsetzen können. – Einer der vielen Hinweise: Die Guidelines des EDSA aus dem Jahr 2022 zum Auskunftsrecht.
Es ist allerdings nicht alles schlecht, es gibt auch Lichtblicke: Zwei Drittel der Datenschutzbehörden bewerten die Umsetzung des Auskunftsrechts durch Unternehmen als „durchschnittlich“ bis „hoch“. Besonders große Unternehmen oder solche mit vielen Auskunftsanfragen schneiden besser ab – vermutlich, weil sie gezwungenermaßen strukturierte Prozesse etabliert haben.
Besonders hervorzuheben sind einige Maßnahmen, die bereits in mehreren Unternehmen erfolgreich angewendet werden:
- Einfache digitale Antragsverfahren: Online-Formulare ermöglichen es betroffenen Personen, ihre Datenanfragen unkompliziert einzureichen.
- Self-Service-Portale: Einige Unternehmen bieten Plattformen an, auf denen Nutzer ihre personenbezogenen Daten selbst abrufen können – schnell und ohne bürokratische Hürden.
Nach der Prüfung ist vor der Prüfung.
Das teils gute Ergebnis der Aufsichtsbehörden zeigt allen Unternehmen, dass die Erwartungshaltung an die Bearbeitung der Auskunftsanfragen deutlich gestiegen ist. Unternehmen, die mangels ausreichend praktischer Erfahrung nicht wissen, wie gut sie auf den Ernstfall vorbereitet sind, sind angehalten, die internen Abläufe und Prozesse zu überprüfen – gegebenenfalls durch einen Testlauf.
Außerdem steht bereits die nächste Prüfungsaktion an, die unmittelbar mit dem Auskunftsrecht in Zusammenhang steht, denn die europäischen Aufsichtsbehörden nehmen sich in 2025 das Recht zur Löschung nach Art. 17 DSGVO vor.
