Auslegungssache – der c't-Datenschutz-Podcast Gute Auskunft, schlechte Auskunft
Das in Artikel 15 DSGVO festgeschriebene Auskunftsrecht ist eines der zentralen Betroffenenrechte. Es gilt als ein wichtiges Instrument zur Kontrolle der eigenen Daten, an das sich Rechte zur Korrektur und Löschung von Daten anschließen. Per E-Mail lässt sich bei Unternehmen und Behörden erfragen, welche Daten zu welchem Zweck gespeichert sind, und woher sie stammen. Doch was auf den ersten Blick einfach klingt, wirft in der Praxis viele Fragen auf, wie die Diskussion im aktuellen c't-Datenschutz-Podcast zeigt.
Zu Gast ist Bettina Blavert, Syndikusrechtsanwältin und Datenschutzexpertin bei der Sovendus GmbH. Sie sieht das Auskunftsrecht sehr positiv, auch wenn es Unternehmen einiges abverlangt. "Für Betroffene ist es Datenschutz zum Anfassen", sagt sie. Holger und Joerg stimmen zu, weisen allerdings auf Schwierigkeiten bei der Umsetzung des Rechts hin.
So müssen Unternehmen Betroffene zunächst einmal eindeutig identifizieren, bevor sie Daten herausgeben, und das, ohne dabei selbst wieder zu viele Daten abzufragen. Außerdem sei die Frist von einem Monat durchaus knapp, wenn umfangreiche oder komplexe Datensätze zusammengestellt werden müssen. Auch inhaltlich gibt es Fallstricke: Müssen komplexe Datenstrukturen in Klartext übersetzt werden? Wie sieht es mit Daten aus, die zwar einen Personenbezug haben, aber zum Beispiel pseudonymisiert gespeichert sind? Und: Dürfen Geschäftsgeheimnisse oder Rechte Dritter einer Auskunft entgegenstehen?
Die drei Diskutanten liefern Details aus der Praxis und stellen klar: Das Auskunftsrecht ist ein mächtiges Instrument für Betroffene, aber eben kein Selbstläufer. Unternehmen müssen ihre Prozesse genau prüfen und anpassen, um nicht in Schwierigkeiten zu geraten. Betroffene sollten wiederum genau überlegen, was sie mit einer Anfrage bezwecken wollen. Denn bei aller Auskunftsfreude: Wer es übertreibt, dem kann am Ende sogar der Missbrauch dieses Rechts vorgeworfen werden.