• Zum Inhalt springen
  • Zur Haupt-Sidebar springen
  • Skip to footer

Datenschutz-Guru

Datenschutz im Unternehmen EINFACH besser machen

  • Dein Account
    • Dein Account
    • Datenschutz-Coaching
    • Coaching-Mails
    • DSB-Kurs
    • Muster & Downloads
    • Forum
    • Verzeichnis von Verarbeitungstätigkeiten (erweitert)
    • DSGVO Last-Minute
    • Fortbildungsnachweis beantragen
    • Deine Kurse | Mitarbeiterschulung
    • Anmelden
  • Beiträge etc.
    • Beiträge
    • Tipps & Muster
      • Datenschutz-Tipps – Der Newsletter
      • Auftragsverarbeitung
      • Verzeichnis von Verarbeitungstätigkeiten
      • Wartung und Pflege von IT-Systemen & Datenschutz
    • Termine
    • Podcast
    • DSB-Verzeichnis
    • Shop
  • Über mich
    • Über mich
    • Honorare
  • Datenschutz
  • Impressum
  •  

Datenschutz-Tipp Nr. 7: Auskunftsersuchen – Wie Sie richtig Auskunft nach § 34 BDSG erteilen (Teil 2)

18/08/2010

Im letzten Tipp haben wir uns das Thema erarbeitet, wie Sie feststellen, ob Sie an eine Person, die Auskunft verlangt, auch Auskünfte erteilen dürfen.
Heute wollen wir einmal klären, wie die Auskunft denn in der Praxis aussehen kann. Was muss rein und was nicht…

Der Umfang der Auskunft ist zunächst vom Wunsch des Betroffenen abhängig. Wenn dieser z.B. nur Auskunft über Daten haben möchte, die zu einem bestimmten Zeitraum über ihn gespeichert waren, so besteht kein Grund dafür, ihm eine vollständige Auskunft über die fehlenden Zeiträume zu erteilen.

Wenn der Betroffene keine Einschränkung vorgenommen hat, dann ist die Auskunft in vollem Umfang zu erteilen.

Voller Umfang bedeutet, dass alle personenbezogenen Daten des Betroffenen, die in automatisierten Verfahren gespeichert sind, mitgeteilt werden müssen. Dabei ist es nicht von Belang, ob die Daten gesperrt sind oder nicht. Es sind alle Daten zu benennen, die zur Person des Betroffenen gespeichert sind.

Was in der Praxis häufig nicht bekannt ist, ist, dass auch die Bezeichnung der jeweiligen Dateien, in der die Daten gespeichert sind, zu benennen sind. In der rechtswissenschaftlichen Literatur wird dies unter Hinweis auf ein Urteil des Hessischen Verwaltungsgerichthofs (Beschluss vom 17.12.1990, Az.: 7 UE 1984) so vertreten. Begründet hat das Gericht das damit, dass sich aus den Dateibezeichnungen die Selektionskriterien für die Aufnahme in die Datei ergeben würden. Meiner Meinung nach ist diese Entscheidung nicht mehr mit der heutigen IT-Praxis ein Einklang zu bringen. In Zeiten von virtualisierten Server- und Datenbankumgebungen sind Dateibezeichnungen nicht mehr zeitgemäß. Ich würde die Nichtangabe von Dateibezeichnungen, sofern diese nicht konkret angefordert werden, derzeit nicht für rechtswidrig halten.

Neben den Angaben zu Daten, die über die Person des Betroffenen gespeichert sind, ist Auskunft über die Empfänger oder Empfängerkategorien zu erteilen.

Nach der wohl herrschenden Auffassung in der rechtswissenschaftlichen Literatur muss ein Empfänger dabei nicht Dritter, also nicht unbedingt ein anderes Unternehmen sein. Auch eine interne Weitergabe im Unternehmen soll daher vom Auskunftsanspruch umfasst sein, um interne Datenflüsse nachvollziehen zu können. Allerdings ist die Begründung hierfür ziemlich „dünn“. Die Literatur zitiert sich quasi selbst im Kreis, und eine Begründung für diesen erweiterten Umfang fehlt. Weder das Gesetz noch die Gesetzesbegründung gibt Anlass zur Annahme, dass über die interne Datenflüsse Auskunft erteilt werden müsste. Eine Ausnahme hiervon besteht lediglich meiner Überzeugung nach für Auftragsdatenverarbeiter (der ist nach § 3 Abs. 8 BDSG nicht „Dritter“). Hier ist ein Interesse des Betroffenen auf Auskunft nachvollziehbar.

Einigkeit besteht also in jedem Fall darüber, dass Sie Auskunft erteilen müssen, über die Unternehmen oder Personen, an die Sie Daten über den Betroffenen übermittelt oder im Rahmen eines Auftragsdatenverarbeitungsverhältnis weitergegeben haben. Dabei reicht eine einmalige Übermittlung aus. Dabei soll – soweit möglich – auch die Adresse der Empfänger angegeben werden.

Für den Fall, dass die Daten der Person regelmäßig bzw. nicht nur einmalig an bestimmte Kategorien von Empfängern (z.B. Adresshändler, Kreditinstitute etc.) hat der Betroffenen auch Anspruch auf Mitteilung der Empfängerkategorien.

Denken Sie bitte auch daran, dass Sie jeweils den Zweck der Speicherung der Daten über die Person angeben müssen.

Wenn Sie aufmerksam gelesen haben, dann ist Ihnen bewusst geworden, dass der Auskunftsanspruch und dessen konkrete Ausgestaltung eine ganz wesentliche Auswirkung auf Ihre IT-Systeme hat bzw. haben sollte. Wenn Ihre Datenbanken z.B. kein Zweckfeld vorsehen, dann werden Sie es ggf. schwer haben, die Zwecke im Einzelnen zu benennen.

Schwierig wird es übrigens auch, wenn Sie nicht protokollieren, wann, an wen, welche Daten über Personen übermittelt/weitergegeben wurden.

Sie tun also gut daran, technische und organisatorische Maßnahmen dafür zu treffen, dass diese Anforderung in der Praxis eingehalten werden kann. Es liegt auf der Hand, dass die Umsetzung in der Praxis manchmal nicht gerade einfach ist. Auch hier dürfen Sie kreativ werden.

Bis dahin…

Letzte Aktualisierung | letzter Aktualisierungscheck: 29.05.2016

Kategorie: Datenschutz
Stichworte: Auskunft, Auskunftsersuchen

Über Stephan Hansen-Oest

Ich bin wohl nicht so ganz der typische Anwalt. Ich beschäftigte mich seit 1995 mit dem Thema Datenschutz und bin wohl so gesehen ein alter Hase auf dem Gebiet (aber sicher kein Datenschutz-Guru). Und doch finde ich jeden Tag etwas Neues in diesem Dschungel des Datenschutzrechts und freue mich darüber, Sie oder Euch auf dem Weg oder manchmal auch dem Trampelpfad zu begleiten. Ja…und manchmal müssen wir uns den Weg erst mit der Machete freischlagen…

Ich bin Flensburger und arbeite dort, wo andere Leute Urlaub machen. Nur betrachte ich es nicht als Arbeit. Es ist eher eine Leidenschaft, mit der ich zugleich auch Geld verdiene.

Mein Ziel ist es, Menschen dabei zu helfen, den Datenschutz in Unternehmen einfach besser zu machen. Und ich freue mich über jeden, der meinen Newsletter abonniert.

Und wer unbedingt noch mehr zu mir wissen möchte, kann sich mein Profil ansehen.

Haupt-Sidebar (Primary)

Auf dem Laufenden bleiben mit Datenschutz-Tipps…

Infos zum Newsletter

Anmelden

Passwort vergessen?

Termine

Mo 25

Office Hours für Beginner

25. Februar @ 08:00 - 08:30
Di 26

Office Hours für Profis

26. Februar @ 17:15 - 17:45
Mrz 11

Office Hours für Beginner

11. März @ 08:00 - 08:30
Mrz 12

Office Hours für Profis

12. März @ 17:15 - 17:45
Mrz 25

Office Hours für Beginner

25. März @ 08:00 - 08:30

Mehr anzeigen …

Themen

  • Aufsichtsbehörden
  • Aus der Kanzlei
  • Datenschutz
  • Datenschutz-Coaching
  • Fragen & Antworten
  • Kurzmeldungen
  • Persönliches
  • Podcast
  • Rechtsprechung

Schlagwörter

Arztpraxis Auftragsdatenverarbeitung Auftragsverarbeitung Auskunft Auskunftsersuchen BDSG Beschäftigtendatenschutz Betroffenenrechte Bußgeld Bücher Crashkurs-DSGVO Datengeheimnis Datenschutz-Folgenabschätzung Datenschutz-Tipp Datenschutz-Update Datenschutzbeauftragte Datenschutz im Unternehmen Datenschutzrecht DSGVO DSGVO-Last-Minute E-Mail Einwilligung Externe Datenschutzbeauftragte Fernmeldegeheimnis Fragebogen Informationspflichten Interessenabwägung ISMS Link-Lösung Medizindatenschutz Muster Mustervertrag Newsletter Office Hours Rechtsanwalt Rezension Schulung TMG TOM ULD Urteil Verarbeitungsverzeichnis Video Videoüberwachung Webinar

Footer CTA

Aus Flensburg für die Welt.
Mit Liebe und von Hand geschrieben.

  • AGB
  • Datenschutz
  • Impressum

Suche