DSGVO – Auskunftsanspruch (Teil-1) Neue Informationen von den Aufsichtsbehörden – Urteil OLG Köln vom 13.05.2022

Der Auskunftsanspruch ist das Thema aus der DSGVO, welches die Bürgerinnen und Bürger am meisten interessiert. Schließlich geht es hier um den Schutz personenbezogener Daten, und dieser gehört zu den stärksten Rechten von Betroffenen. Neueste Informationen seitens der Aufsichtsbehörden sollen nun die noch ungeklärten Fragen beantworten, die auch mehrere Jahre nach Inkrafttreten der neuen Datenschutzgrundverordnung DSGVO immer noch auftreten.

Praxis & Herausforderung

Die Datenschutzgrundverordnung DSGVO gilt branchenübergreifend für alle Unternehmen und somit für heterogene Verarbeitungszwecke genauso wie für die bloße Umsetzung von Prozessen, weshalb Unternehmensberater und -beraterinnen ständig mit den Unklarheiten über den Umgang mit dem Gesetz konfrontiert werden. Mit den aktuellsten Informationen über das Auskunftsrecht sollten die auch nach mehreren Jahren nach Inkrafttreten des neuen Datenschutzgesetzes noch bestehenden Fragen geklärt sein.

Tätigkeitsberichte genau lesen

Generell entscheiden Gerichte darüber, ob Unternehmen sich ausreichend an die Datenschutzgrundverordnung gehalten haben, doch zuvor obliegt es der jeweiligen Aufsichtsbehörde, die Anwendung des Gesetzes zu kontrollieren und durchzusetzen. Sie stehen somit nicht am Ende eines Verfahrens, ihre Einschätzungen und Rechtsansichten sind aber Indikatoren dafür, wie in bestimmten Fällen zu verfahren sein sollte. Hierbei sind eventuell Tätigkeitsberichte hilfreich, die jährlich zu veröffentlichen sind. Die regelmäßige und genaue Durchsicht dieser Berichte kann schon viele Unklarheiten aus dem Weg räumen und langwierige Gerichtsprozesse verhindern.

Auskunftsrecht in den Arztpraxen

Auch in Arztpraxen muss der Auskunftsanspruch gegebenenfalls durchgesetzt werden, beispielsweise wenn ein Patient oder eine Patientin eine kostenlose Kopie der personenbezogenen Daten verlangt. Doch dies wird in vielen Fällen unter Berufung auf § 630g Abs. 2 BGB und die darin festgelegten Kostentragung abgelehnt. Die Aufsichtsbehörde Bremen zeigt sich von dieser Ausführung jedoch wenig beeindruckt. Wenn eine betroffene Person ihr Auskunftsrecht ohne Einschränkungen in Anspruch nimmt, ist ihr die vollständige Auskunft zu erteilen, was auch eine kostenfreie Kopie der personenbezogenen Daten beinhaltet. So können Patientinnen und Patienten die Erstellung einer Kopie der Rohdaten ihrer Patientenakte verlangen.

Neben dem datenschutzrechtlichen Auskunftsanspruch besteht das Einsichtsrecht in die Patientenakte sowie ein Anspruch auf eine Erstellung elektronischer Abschriften. Dies geht aus einem Urteil des Landgerichts Dresden hervor, in dem eine Ärztin dazu verurteilt wurde, ihrer Patientin die vollständigen Behandlungsdokumente kostenfrei im pdf-Format zukommen zu lassen. Dieser Ansicht folgt auch die Aufsichtsbehörde Hessen und stellt Arztpraxen ein Muster für die Erteilung von Auskünften zur Verfügung.

Informationen zu den technische und organisatorische Maßnahmen TOM

Verunsicherung herrscht bei vielen Verantwortlichen darüber, ob der Auskunftsanspruch auch Informationen über technische und organisatorische Maßnahmen (TOM) beinhaltet. Die Aufsichtsbehörde Liechtenstein gibt hier Entwarnung. Zwar muss eine allgemeine Beschreibung der TOMs im Verzeichnis der Verarbeitungstätigkeiten enthalten sein, eine Offenlegung des Verzeichnisses gegenüber Betroffenen ist nicht notwendig.

Möglichkeit einer postlagernden Zustellung einer Datenkopie unzulässig

Auch die Gewährleistung einer ausreichenden Identifikation von Betroffenen stellt für viele Verantwortliche eine Herausforderung dar. Weder im Datenschutzgesetz selbst noch in der korrespondierenden DSK-Veröffentlichung gibt es genauere Informationen hierzu, weshalb sich die SCHUFA-Holding AG weigerte, einer solchen Anfrage nachzukommen. So verlangte eine Person, die Erteilung einer Auskunft postlagernd an eine Filiale der Deutschen Post AG zu senden. Eine Anschrift in Deutschland oder im Ausland war der SCHUFA nicht bekannt. Laut Aufsichtsbehörde Hessen müssen Verantwortliche in der Lage sein, auskunftsberechtigte Personen zu identifizieren um die sensiblen Daten zuordnen zu können. Zudem müssen den Verantwortlichen für eventuelle Rückfragen Kontaktdaten wie Anschrift oder Telefonnummer bekannt sein. Die Aufsichtsbehörde sah auch im weiteren Prozess die Unterlassung einer Auskunftserteilung anhand postlagernder Zustellung aufgrund vieler Probleme als gerechtfertigt an.

Fazit: Kein Grund zur Panik

Die Weiterentwicklung von Unternehmen und deren geschäftliche Tätigkeiten ist ein fortlaufender Prozess. Ein fachlich qualifizierter Datenschutzbeauftragter unterstützt Firmen und Praxen bei der praxistauglichen Umsetzung gesetzlicher Vorgaben und den damit verbundenen unbestimmten Rechtsbegriffen, bevor die Aufsichtsbehörde einschreiten muss.

Zum Urteil OLG Köln – vom 13.05.2022

Hier zum Urteil des OLG Köln vom 13.05.2022 zum Auskunftsanspruch der Betroffenen.