§ 34 Auskunftsrecht der betroffenen Person
(1) Das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 der Verordnung (EU) 2016/679 besteht ergänzend zu den in § 27 Absatz 2, § 28 Absatz 2 und § 29 Absatz 1 Satz 2 genannten Ausnahmen nicht, wenn
- die betroffene Person nach § 33 Absatz 1 Nummer 1, 2 Buchstabe b oder Absatz 3 nicht zu informieren ist, oder
- die Daten
a) nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder
b) ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen
und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.
(2) Die Gründe der Auskunftsverweigerung sind zu dokumentieren. Die Ablehnung der Auskunftserteilung ist gegenüber der betroffenen Person zu begründen, soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. Die zum Zweck der Auskunftserteilung an die betroffene Person und zu deren Vorbereitung gespeicherten Daten dürfen nur für diesen Zweck sowie für Zwecke der Datenschutzkontrolle verarbeitet werden; für andere Zwecke ist die Verarbeitung nach Maßgabe des Artikels 18 der Verordnung (EU) 2016/679 einzuschränken.
(3) Wird der betroffenen Person durch eine öffentliche Stelle des Bundes keine Auskunft erteilt, so ist sie auf ihr Verlangen der oder dem Bundesbeauftragten zu erteilen, soweit nicht die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die Mitteilung der oder des Bundesbeauftragten an die betroffene Person über das Ergebnis der datenschutzrechtlichen Prüfung darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser nicht einer weitergehenden Auskunft zustimmt.
(4) Das Recht der betroffenen Person auf Auskunft über personenbezogene Daten, die durch eine öffentliche Stelle weder automatisiert verarbeitet noch nicht automatisiert verarbeitet und in einem Dateisystem gespeichert werden, besteht nur, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht.
Kommentar
§ 34 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Vorschrift enthält Beschränkungen von Auskunftsrechten betroffener Personen.
Absatz 1 beinhaltet Einschränkungen des Auskunftsrechts betroffener Personen in Ergänzung zu § 27 Absatz 2, § 28 Absatz 2 und § 29 Absatz 1 Satz 2. Die Ausnahme vom Auskunftsrecht setzt tatbestandlich das Vorliegen der Voraussetzungen von Nummer 1 oder Nummer 2 voraus:
Absatz 1 Nummer 1 verweist auf die Beschränkungen nach § 33 Absatz 1 Nummer 1 und 2 Buchstabe b und Absatz 3. Die Regelung modifiziert die nach alter Rechtslage bestehenden Beschränkungen des Auskunftsrechts gemäß § 19 Absatz 3 und 4 Nummer 1 und 2 sowie § 34 Absatz 7 i. V. m. § 33 Absatz 2 Satz 1 Nummer 6 und 7b BDSG a. F.
Absatz 1 Nummer 2 sieht Ausnahmen vom Auskunftsanspruch vor, wenn die Daten aufgrund von gesetzlichen oder satzungsrechtlichen Aufbewahrungsvorschriften nicht gelöscht werden dürfen (Buchstabe a) oder die Datenverarbeitung ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienet (Buchstabe b). Die Regelung knüpft an § 19 Absatz 2 und § 33 Absatz 2 Satz 1 Nummer 2 BDSG a. F. an. Anders als nach alter Rechtslage hat der Verantwortliche sicherzustellen, dass durch geeignete technische und organisatorische Maßnahmen eine Verwendung der Daten zu anderen Zwecken ausgeschlossen ist (Absatz 1 am Ende). Ob ein unverhältnismäßiger „Aufwand“ anzunehmen ist, hängt von den bestehenden technischen Möglichkeiten ab, gesperrte und archivierte Daten verfügbar zu machen. Zu berücksichtigen ist, dass dann, wenn die Daten ausschließlich aufgrund von Aufbewahrungsvorschriften gespeichert, die Datenverarbeitung nach § 35 Absatz 3 einzuschränken ist.
Absätze 2 und 3 knüpfen an die Vorgängerregelung § 19 Absatz 5 und 6 BDSG a. F. an:
Absatz 2 regelt Dokumentationspflicht sowie die Pflicht, die Ablehnung der Auskunfterteilung gegenüber der betroffenen Person zu begründen. Hierdurch sollen betroffene Personen in die Lage versetzt werden, die Ablehnung zu prüfen und gegebenenfalls die zuständige Aufsichtsbehörde anzurufen. Absatz 2 Satz 2 Hs. 2 lässt ein Absehen von der Begründungspflicht vor, sofern durch die Begründung der mit der Auskunftsverweigerung verfolgte Zweck gefährdet werden würde. Die Darlegungs- und Beweislast dafür trägt der Verantwortliche. Die Vorschrift dient dem Schutz der Rechte und Freiheiten der betroffenen Personen (Artikels 23 Absatz 2 Buchstaben c, d, g und h DSGVO). Nach Artikel 12 Absatz 4 DSGVO hat die betroffene Person auf die Möglichkeit der Beschwerde bei der zuständigen Aufsichtsbehörde und des gerichtlichen Rechtsschutzes hinzuweisen (vgl. bereits § 19 Absatz 5 Satz 2 BDSG a. F.). Absatz 2 Satz 3 enthält eine Zweckbindung der zum Zweck der Auskunftserteilung und zu deren Vorbereitung gespeicherten Daten (vgl. bereits § 34 Absatz 5 BDSG a. F.).
Absatz 3 entspricht § 19 Absatz 6 BDSG a. F. Die Beschränkung dient dem Schutz der öffentlichen Sicherheit (Artikel 23 Absatz 1 Buchstabe c DSGVO) und der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten (Artikel 23 Absatz 1 Buchstabe d DSGVO).
Absatz 4 führt die nach bisherigem Recht (§ 19 Absatz 1 Satz 3 BDSG a. F.) bestehende Einschränkung des Auskunftsrechts für personenbezogene Daten fort, die durch öffentliche Stellen weder automatisiert verarbeitet noch – ohne automatisiert verarbeitet zu werden – in einem Dateisystem gespeichert sind oder werden sollen. Diese Form der Datenverarbeitung ist zwar nach Artikel 2 Absatz 1 der Verordnung (EU) 2016/679 nicht von deren sachlichen Anwendungsbereich erfasst, jedoch gilt nach § 1 Absatz 8 die Verordnung (EU) 2016/679 – und mithin auch das Auskunftsrecht nach deren Artikel 15 – auch für diese Form der Datenverarbeitung. Unter Absatz 4 fallen insbesondere Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind (vgl. Erwägungsgrund 15 Satz 3 DSGVO). Die Einschränkung liegt daher außerhalb des Anwendungsbereichs der DSGVO.
Das Auskunftsrecht besteht nur unter der Voraussetzung, dass die betroffene Person Angaben macht, die dem Verantwortlichen das Auffinden der Daten ermöglichen. Ferner darf der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse stehen. Beide Voraussetzungen bestehen bereits im geltenden Recht (§ 19 Absatz 1 Satz 3 BDSG a. F.), dessen Schutzstandard erhalten bleibt.