Eine erste Analyse der „Guidelines 01/2022 on data subject rights – Right of access“ des Europäischen Datenschutzausschusses
In den ersten beiden Beiträgen dieser Serie hatte ich über den Entwurf des Europäischen Datenschutzausschusses für eine Leitlinie zum Auskunftsrecht berichtet und mit der Analyse des Entwurfs begonnen.
Gegenstand dieses Beitrags ist Ziffer 3 des Entwurfs der Leitlinie 1/2022. Dieser befasst sich mit der Auslegung von Auskunftsanträgen.
Einleitung
Erhält der Verantwortliche einen Auskunftsantrag, so muss er zwei Dinge prüfen: (i) bezieht sich der Antrag auf personenbezogene Daten und handelt es sich um personenbezogene Daten des Auskunftsstellers? Der Verantwortliche muss bei der Beurteilung eines Antrags auf Zugang zu personenbezogenen Daten gemäß Art. 12 Abs. 2 DSGVO auch die Verpflichtung, die Ausübung der Rechte der betroffenen Person zu erleichtern, beachten. Er darf also nicht durch eine für den Antragsteller ungünstige Auslegung die Durchsetzung seiner Rechte erschweren.
Verantwortliche müssen auf die Beantwortung von Auskunftsansprüchen vorbereitet sein. Die Art und Weise, wie sich die Verantwortlichen auf die Bearbeitung von Auskunftsersuchen vorbereiten, sollte angemessen und verhältnismäßig sein und sich nach Art, Umfang, Kontext und den Zwecken der Verarbeitung sowie von den Risiken für die Rechte und Freiheiten natürlicher Personen abhängen (vgl. Art. 24 DS-GVO).
Bezieht sich das Auskunftsersuchen auf personenbezogene Daten?
Was ist ein personenbezogenes Datum? Dabei handelt es sich um eine Information, die sich auf eine natürliche Person bezieht, die entweder identifiziert oder identifizierbar ist.
Nicht zu den personenbezogenen Daten zählen anonymisierte Daten. Das sind Daten, bei denen keine Re-Identifizierbarkeit der dazu gehörigen natürlichen Person möglich ist.
Demgegenüber zählen pseudonymisierte Daten noch zu den personenbezogenen Daten.
Bezieht sich das Auskunftsersuchen auf den Antragsteller?
Der Verantwortliche muss unter Anwendung geeigneter und angemessener Mittel prüfen, ob der Antragsteller auch tatsächlich die Person ist, für die er/sie sich ausgibt.
Gibt es Formerfordernisse?
Nein, der Antrag kann formlos gestellt werden. Selbst wenn der Verantwortliche eine bestimmte Möglichkeit bereitstellt, ein Auskunftsersuchen zu stellen, so kann der Antragsteller auch alle anderen denkbaren Kommunikationswege benutzen.
Wie kann der Verantwortliche den Antragsteller identifizieren?
Wenn die Identität der Person nicht zweifelsfrei feststeht (was im Arbeitsverhältnis typischerweise der Fall ist), dann kann der Verantwortliche Nachweise für die Identität verlangen, z.B. einen Ausweis. Denkbar ist auch – insbesondere bei Onlineportalen – die Identifizierung über die Einwahldaten zu machen und die Anfragen nur aus dem geschützten Bereich heraus zuzulassen.
