§ 57 Auskunftsrecht

(1) Der Verantwortliche hat betroffenen Personen auf Antrag Auskunft darüber zu erteilen, ob er sie betreffende Daten verarbeitet. Betroffene Personen haben darüber hinaus das Recht, Informationen zu erhalten über

1. die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, und die Kategorie, zu der sie gehören,
2. die verfügbaren Informationen über die Herkunft der Daten,
3. die Zwecke der Verarbeitung und deren Rechtsgrundlage,
4. die Empfänger oder die Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind, insbesondere bei Empfängern in Drittstaaten oder bei internationalen Organisationen,
5. die für die Daten geltende Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
6. das Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung der Verarbeitung der Daten durch den Verantwortlichen,
7. das Recht nach § 60, die Bundesbeauftragte oder den Bundesbeauftragten anzurufen, sowie
8. Angaben zur Erreichbarkeit der oder des Bundesbeauftragten.

(2) Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb verarbeitet werden, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder die ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, wenn die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.

(3) Von der Auskunftserteilung ist abzusehen, wenn die betroffene Person keine Angaben macht, die das Auffinden der Daten ermöglichen, und deshalb der für die Erteilung der Auskunft erforderliche Aufwand außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht.

(4) Der Verantwortliche kann unter den Voraussetzungen des § 56 Absatz 2 von der Auskunft nach Absatz 1 Satz 1 absehen oder die Auskunftserteilung nach Absatz 1 Satz 2 teilweise oder vollständig einschränken.

(5) Bezieht sich die Auskunftserteilung auf die Übermittlung personenbezogener Daten an Verfassungsschutzbehörden, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, andere Behörden des Bundesministeriums der Verteidigung, ist sie nur mit Zustimmung dieser Stellen zulässig.

(6) Der Verantwortliche hat die betroffene Person über das Absehen von oder die Einschränkung einer Auskunft unverzüglich schriftlich zu unterrichten. Dies gilt nicht, wenn bereits die Erteilung dieser Informationen eine Gefährdung im Sinne des § 56 Absatz 2 mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von oder der Einschränkung der Auskunft verfolgten Zweck gefährden würde.

(7) Wird die betroffene Person nach Absatz 6 über das Absehen von oder die Einschränkung der Auskunft unterrichtet, kann sie ihr Auskunftsrecht auch über die Bundesbeauftragte oder den Bundesbeauftragten ausüben. Der Verantwortliche hat die betroffene Person über diese Möglichkeit sowie darüber zu unterrichten, dass sie gemäß § 60 die Bundesbeauftragte oder den Bundesbeauftragten anrufen oder gerichtlichen Rechtsschutz suchen kann. Macht die betroffene Person von ihrem Recht nach Satz 1 Gebrauch, ist die Auskunft auf ihr Verlangen der oder dem Bundesbeauftragten zu erteilen, soweit nicht die zuständige oberste Bundesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die oder der Bundesbeauftragte hat die betroffene Person zumindest darüber zu unterrichten, dass alle erforderlichen Prüfungen erfolgt sind oder eine Überprüfung durch sie stattgefunden hat. Diese Mitteilung kann die Information enthalten, ob datenschutzrechtliche Verstöße festgestellt wurden. Die Mitteilung der oder des Bundesbeauftragten an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser keiner weitergehenden Auskunft zustimmt. Der Verantwortliche darf die Zustimmung nur insoweit und solange verweigern, wie er nach Absatz 4 von einer Auskunft absehen oder sie einschränken könnte. Die oder der Bundesbeauftragte hat zudem die betroffene Person über ihr Recht auf gerichtlichen Rechtsschutz zu unterrichten.

(8) Der Verantwortliche hat die sachlichen oder rechtlichen Gründe für die Entscheidung zu dokumentieren.

Kommentar

§ 57 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.

Die Vorschrift gilt für den dritten Teil des BDSG (§§ 45 – 84), d. h. für die Verarbeitung von personenbezogenen Daten für Zwecke der Strafverfolgung, -verhinderung, der Ahndung von Ordnungswidrigkeiten etc. (vgl. § 45 BDSG). Die in Umsetzung von Artikel 14 f. der Richtlinie (EU) 2016/680 geregelten Auskunftsrechte stellen zentrale Rechte von Betroffenen dar.

Absatz 1 Satz 1 bestimmt eine auf Antrag zu erfüllende Auskunftspflicht über den Umstand, ob Daten über die Antrag stellende Person verarbeitet werden („ob“). Die Vorschrift setzt begriffsnotwendig nicht voraus, dass es sich um eine „betroffene“ Person handelt, denn die Auskunftspflicht gilt unabhängig davon, ob tatsächlich Daten über die Person verarbeitet werden.

Absatz 1 Satz 2 regelt weitergehende Informationspflichten für den Fall, dass es sich tatsächlich um „Betroffene“ handelt, d. h. wenn Daten der Antrag stellenden Person verarbeitet werden („welche“ Daten und weitere Details):

• Absatz 1 Satz 2 Nummer 1: Es ist Auskunft zu erteilen über die Daten und die Kategorien, namentlich ob es sich um personenbezogene Daten oder darüber hinaus um Daten handelt, die besonderen Kategorien personenbezogener Daten unterfallen (§ 46 Nummer 14 BDSG),
• Absatz 1 Satz 2 Nummer 2: Hiernach ist auch über die Herkunft der Daten Auskunft zu erteilen, wobei die Pflicht tatbestandlich insoweit nicht besteht, wie Informationen über die Herkunft nicht verfügbar sind. Soweit in der Entwurfsbegründung davon die Rede ist, dass der Verantwortliche nicht die Identität der Quelle preiszugeben hat (BT Drs. 18/11325, S. 113), ist das mit dem Wortlaut des Gesetzes, wonach „verfügbare“ Angaben zu machen sind, nicht vereinbar. Der Gesetzesbegründung ist zuzugestehen, dass der übergeordnete Zweck der Auskunftspflichten eine Sensibilisierung von Verantwortlichen ist. Hierdurch kann aber nicht ein klar formuliertes subjektiv-öffentliches Recht, wie es in Nummer 2 formuliert ist, negiert werden.
• Absatz 1 Satz 2 Nummer 3: Auskunft zu erteilen ist über die Zwecke der Verarbeitung und die Rechtsgrundlagen.
• Absatz 1 Satz 2 Nummer 4: Betroffene können Auskunft verlangen, an welche Empfänger oder Kategorien von Empfängern personenbezogene Daten weitergegeben worden sind.
• Absatz 1 Satz 2 Nummer 5: Es ist Auskunft zu erteilen über Speicherdauer oder Kriterien, anhand derer sich die Festlegung der Dauer bemisst.
• Absatz 1 Satz 2 Nummer 6: Die Vorschrift sieht eine Auskunftspflicht über Berichtigungs- und Löschungsrechte sowie das Recht, die Einschränkung der Verarbeitung verlangen zu können, vor (§ 58 BDSG).
• Absatz 1 Satz 2 Nummern 7 und 8 bestimmen Auskunftsrechte über das Recht zur Anrufung des Bundesbeauftragten (§ 60) und über dessen Korrespondenzdaten.

Absatz 2 enthält praktisch relevante Einschränkungen der Auskunftsrechte, indem Absatz 1 in bestimmten Fällen für unanwendbar erklärt wird (vgl. § 19 Absatz 2 BDSG a. F.). Die für den dritten Teil des Gesetzes (§§ 45-84) geltende Vorschrift findet im Bereich der „herkömmlichen“ Datenverarbeitung ihre Entsprechung in § 33 Absatz 1 Nummer 1 und 2 BDSG.

Die Auskunftsrechte nach Absatz 1 gelten nicht, wenn personenbezogene Daten nur aufgrund von gesetzlichen Aufbewahrungsvorschriften nicht gelöscht werden dürfen. Absatz 1 bleibt indessen anwendbar, wenn die Speicherung zumindest auch auf andere Zwecke zurückzuführen ist. Das ergibt sich aus der Verwendung des Wortes „nur“.

Ausgeschlossen sind die Auskunftsrechte nach Absatz 1 auch dann, wenn die Datenverarbeitung ausschließlich der Datensicherung oder der Datenschutzkontrolle dienen. Die Ausnahmen für Zwecke der Datensicherung oder der Datenschutzkontrolle greifen nur dann, wenn keine anderen Zwecke verfolgt werden. Ungeschriebenes Tatbestandsmerkmal ist die Rechtmäßigkeit der Verarbeitung zum Zwecke der Datensicherung oder Datenschutzkontrolle, d. h. der Verantwortliche muss, um sich auf Zwecke der Datensicherung oder Datenschutzkontrolle berufen zu dürfen, eine hinreichende Rechtsgrundlage vorweisen können. Sofern das nicht der Fall ist, bleiben die Rechte nach Absatz 1 vollen Umfangs bestehen.

Zusätzlich erforderlich ist stets, dass die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde und die Nutzung der Daten zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.

Absatz 3 trifft eine Regelung zu Mitwirkungshandlungen von betroffenen Personen (vgl. § 19 Absatz 1 Satz 3 BDSG a. F.). Sofern Betroffene für das Auffinden der Daten unzureichende Angaben machen und deshalb der für die Auskunftserteilung notwendige Aufwand außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht, ist von der Auskunftserteilung abzusehen. Dabei ist zu berücksichtigen, dass den Verantwortlichen grundsätzlich eine umfassende Verpflichtung trifft und dass die unzureichende Vorhaltung der erforderlichen technischen und personellen Infrastruktur nicht zu Lasten Betroffener gehen darf. Eine solche Interpretation gebietet auch Art. 15 der Richtlinie (EU) 2016/680, wonach die Einschränkung von Auskunftspflichten bei unzureichender Ausstattung staatlicher Stellen nicht vorgesehen ist. Ausreichend ist daher regelmäßig die Angabe des Namens und gegebenenfalls von Begleitumständen, wohingegen der Verantwortliche nicht verlangen darf, dass der Betroffene korrekte Aktenzeichen oder dergleichen nennen muss. Auf einen unverhältnismäßigen Aufwand dürfen sich Verantwortliche hingegen nur ausnahmsweise berufen. Die Angaben „zu wenig Personal“, „zu viel zu tun“, „zu aufwändige Suche“ reichen regelmäßig nicht aus.

Absatz 4 sieht vor, dass das Vorliegen der in § 56 Absatz 2 genannten Gründe (vgl. dort) die Pflichten nach Absatz 1 ausschließen. Die Entscheidung muss stets verhältnismäßig sein und der Entscheidung hat eine nachvollziehbare Interessenabwägung vorauszugehen. Denkbar sind auch im Rahmen der Erforderlichkeitsprüfung zu erwägende teilweise Ausnahmen oder die Erteilung von Auskünften zu einem späteren Zeitpunkt. Der deutsche Gesetzgeber geht über die Maßgaben nach der Richtlinie (EU) 2016/680 hinaus, indem der Ausschluss der Betroffenenrechte nur im Falle einer „Gefährdung“ der Aufgabenerfüllung nach § 45, der öffentlichen Sicherheit oder Rechtsgütern Dritter ausgeschlossen sind.

Absatz 5 bestimmt wie § 56 Absatz 3 besondere Beteiligungs- und Zustimmungsmaßgaben, wenn es sich um Angelegenheiten handelt, in die Verfassungsschutzbehörden etc. involviert sind (vgl. § 19 Absatz 3 BDSG a. F.).

Absatz 6 sieht Informationspflichten vor für den Fall, dass Auskünfte nicht oder nur eingeschränkt erteilt werden. Sätze 1 und 2 dienen der Umsetzung von Artikel 15 Absatz 3 Sätze 1 und 2 der Richtlinie (EU) 2016/680. Nach Satz 1 hat die Erteilung der Auskunft schriftlich zu erfolgen. Die Erteilung der Auskunft kann bei Vorliegen der Voraussetzungen von § 56 Absatz 2 unterbleiben. Satz 3 bestimmt, dass die Unterrichtung grundsätzlich zu begründen ist, soweit nicht Gründe der Ablehnung entgegenstehen (vgl. § 19 Absatz 5 Satz 1 BDSG a. F.).

Absatz 7 trifft Regelungen zu Möglichkeiten betroffener Personen, im Falle einer unterbliebenen Begründung Informationen zu erhalten. Betroffene können gemäß Satz 1 Auskunftsrechte über den Bundesbeauftragten ausüben. Die Vorschrift dient der Umsetzung von Artikel 17 Absatz 1 der Richtlinie (EU) 2016/680 (vgl. § 60). Satz 2 setzt Artikel 17 Absatz 2 der Richtlinie (EU) 2016/680 um und sieht eine Unterrichtung durch den Verantwortlichen vor, die allerdings nicht auf Fälle gemäß Absatz 6 Anwendung findet, in denen der Verantwortliche nach berechtigt ist, von einer Information des Antragstellers ganz abzusehen. Satz 3 bestimmt den Mindestumfang der Information, nämlich, dass der Bundesbeauftragte mitteilt, dass alle erforderlichen Prüfungen vorgenommen worden sind (vgl. bereits § 19 Absatz 6 Satz 1 BDSG a. F.). Sätze 4 und 5 betreffen den Inhalt der Informationen, die der betroffenen Person durch den Bundesbeauftragten zur Verfügung gestellt werden. Die Regelung dient der Umsetzung von Artikel 17 Absatz 3 Satz 1 der Richtlinie (EU) 2016/680, wobei Satz 5 über die Maßgaben der Richtlinie hinausgeht, indem die Mitteilung die Information zu datenschutzrechtlichen Verstößen enthalten kann, insbesondere ob die Auskunftsverweigerung oder teilweise Einschränkung der Auskunft rechtmäßig gewesen ist. Das Wort „kann“ eröffnet Ermessen, welches indessen regelmäßig zugunsten von Betroffenen auszuüben sein wird, denn der Bundesbeauftragte wird bei der Anwendung der Vorschrift eine Verwaltungspraxis begründen, welche eine Gleichbehandlung nach Art. 3 GG gebietet, d. h. wenn die Information in anderen Fällen gewährt wird, kommt eine Nichterteilung der Information nur bei Vorliegen besonderer Gründen in Betracht.

Sätze 6 und 7 schränken die Informationserteilung durch den Bundesbeauftragten zugunsten der Verantwortlichen ein (vgl. § 19 Absatz 6 Satz 2 BDSG a. F.). Nach Satz 8 hat der Bundesbeauftragte die betroffenen Personen über Rechtsschutzmöglichkeiten zu unterrichten. Die Vorschrift dient der Umsetzung von Artikel 17 Absatz 3 Satz 2 der Richtlinie (EU) 2016/680.

Absatz 8 bestimmt eine Dokumentationspflicht der Verantwortlichen für Entscheidungen nach dem Paragraphen. Die Vorschrift dient der Umsetzung von Artikel 15 Absatz 4 der Richtlinie (EU) 2016/680.

zurück zum BDSG 2018