Noch immer bereitet die Erteilung von Auskünften große Schwierigkeiten. In einer Vielzahl von Fällen versuchen Verantwortliche die personenbezogenen Daten zu löschen, anstatt eine Auskunft zu erteilen. Dies berichtet das Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) im aktuellen Tätigkeitsbericht für das Jahr 2021.

Keine Flucht vor der Auskunft

Wenig überraschend stellt die Behörde fest, dass eine Löschung statt Auskunft dem Sinn und Zweck des Auskunftsrechts widerspricht. Den Betroffenen wird jede Möglichkeit genommen, zu erfahren, welche personenbezogenen Daten verarbeitet werden.

Vorsicht bei Löschfristen

Problematisch können Fälle sein, in denen die vorgesehene Löschfrist der betreffenden Daten nach Eingang einer Auskunftsanfrage endet.

Beispiel:

12.01.2022 Eingang der Auskunftsanfrage vom Betroffenen

30.01.2022 Ende der vorgesehenen Löschfrist (der betreffenden Daten des Betroffenen)

02.02.2022 Auskunft, dass keine Daten mehr vorliegen

Verantwortliche könnten sich so bei der Auskunft auf den Standpunkt stellen, dass die Daten inzwischen gelöscht wurden.

Dies ist jedoch nicht zulässig. Für den Umfang des Auskunftsverlangens ist grundsätzlich der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich. Nur Daten, die in der Vergangenheit einmal verarbeitet wurden und über die der Verantwortliche nun nicht mehr verfügt, sind nicht Bestandteil der Auskunft. (Arbeitsgericht Düsseldorf, Urteil vom 05.03.2020, Aktenzeichen: 9 Ca 6557/18).

Auch nach Auffassung des Europäischen Datenschutzausschusses sind diejenigen Daten zu beauskunften, die im Zeitpunkt des Zugangs des Auskunftsbegehrens vorhanden sind (EDSA-Leitlinien 01/2022, Stand 18.01.2022, Rn. 37-39).

Das BayLDA rät daher dringend davon ab, bei Vorliegen von Auskunftsersuchen gem. Art. 15 DS-GVO Daten noch vor Auskunftserteilung zu löschen.

Umfang bei Fristversäumnis

In einigen Fällen kann sich die Verantwortung von Auskünften über mehrere Monate hinziehen. Auch hier stellt sich die Frage, welcher Stand dann konkret zu beauskunften ist. In dem noch nicht rechtskräftigen Urteil des Arbeitsgerichts Düsseldorf wird hierzu vertreten, dass im Fall einer Fristversäumnis nachfolgende Datenverarbeitungen einzubeziehen sind.

Empfehlung

Auskunftsbegehren oder sonstige Anfragen müssen als solche erkannt und an die zuständigen Mitarbeiter bzw. das Datenschutzteam weitergeleitet werden. Sämtliche Beschäftigte müssen fortlaufend sensibilisiert werden, dass mit Eingang der Anfrage auch die Frist aus Art. 12 Abs. 3 DSGVO zu laufen beginnt. Daneben kann der Eingang einer Auskunft auch Auswirkungen auf die Aufbewahrungsfristen haben. Es empfiehlt sich daher, eingehende Anfragen von Betroffenen bei den Löschprozessen und im Löschkonzept zu berücksichtigen.

Rechtsanwalt Robert Harzewski