Nutzen Sie Ihre Auskunftsrechte!

Für Eilige

Die Datenschutzgrundverordnung (DSGVO) verpflichtet die Verantworlichen zum Treffen geeigneter Maßnahmen, um Ihnen alle über Sie gespeicherten Daten in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“ (Artikel 12.1). Nehmen Sie Ihre Rechte als betroffene Person gemäß Kapitel 3 der DSGVO wahr!

Rechtliche Grundlage

Bereits seit Mai 2018 gilt die Datenschutzgrundverordnung europaweit. Artikel 15 garantiert Ihnen das Recht, Auskunft darüber zu erhalten, welche Daten über Sie gespeichert wurden. Dieses Auskunftsrecht ist die Grundlage für weitere Rechte: auf Berichtigung falscher Daten, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und ein Recht auf Widerspruch.

Wenn Sie sehen, was ein Dienstleister alles über Sie gespeichert hat, fällt Ihnen der Wechsel zu einem datenschutzfreundlicheren Dienstleister womöglich leichter.

Da Ihre Daten gewöhnlich in einem standardisierten, maschinenlesbaren Format bereitgestellt werden, können Sie sie auf einer anderen Plattform importieren und weiterhin nutzen, wenn die neue Plattform dies anbietet.

Ein weiterer Vorteil: Wenn Sie von Ihrem Auskunftsrecht Gebrauch machen, haben Sie wenigstens eine Kopie Ihrer Daten, falls der Dienst eingestellt wird und er die Server abschaltet.

Wie nutzen Sie Ihr Auskunftsrecht?

Ein Auskunftsersuchen können Sie an alle Firmen, Institutionen, Behörden (z. B. auch Ihre.n Arbeitgeber.in) stellen, die in Europa Leistungen anbieten. Sie können Auskunft darüber verlangen, ob Informationen über Sie verarbeitet werden, welche Daten zu welchem Zweck verarbeitet werden, woher diese Daten stammen, an wen sie weitergegeben werden, ob und wie lange die Daten gespeichert werden und ob die Daten für automatisierte Entscheidungsfindung benutzt werden.

Falls keine Daten über Sie vorliegen, erfahren Sie auch das durch eine sogenannte „Negativauskunft“.

Neben der Auskunft selbst können Sie auch eine Kopie der gespeicherten personenbezogenen Daten anfordern.

Online-Datenexport

Mittlerweile bieten einige große Konzerne Online-Formulare an, über die man eine Kopie der eigenen Daten abrufen kann.

Falls Sie zum Beispiel ein Google-Konto haben und dort eingeloggt sind, können Sie unter dem Stichwort „Google Datenexport“ (Takeout) ein Archiv Ihrer bei Google gespeicherten Daten anfordern und herunterladen.

Viele andere Dienste bieten diese Funktion ebenfalls an.

Bei diesen Datenexporten ist allerdings nicht garantiert, dass es sich um eine vollständige Kopie im Sinne der DSGVO handelt. Es kann sich daher lohnen, eine Kopie explizit nach Artikel 15 anzufordern.

Auch Auskunfteien gegenüber haben Sie das Recht, Auskunft über Ihre Daten sowie eine Kopie zu erhalten. Die Schufa stellt zum Beispiel ein Online-Formular zur Verfügung, mit dem Sie einmal im Jahr eine kostenlose Selbstauskunft einholen können. Das Unternehmen versucht an dieser Stelle allerdings mitzuverdienen: Wenn Sie die Auskunft kostenfrei anfordern, wird Ihnen (nur) das Mindestmaß an Informationen mitgeteilt, das laut DSGVO in solch einer Auskunft enthalten sein muss. Möchten Sie Ihren Bonitätsscore jedoch permanent im Blick behalten, ist dies bei der Schufa nur kostenpflichtig möglich.

Auskunftsersuchen per E-Mail oder Brief

Einen Musterbrief für Anfragen explizit an Schulen finden Sie in unserem Blog. Den Text können Sie jedoch auch für andere Behörden und für Unternehmen anpassen.

Die Auskunft muss unverzüglich erteilt werden. „Unverzüglich“ ist nicht näher definiert, doch die normale Frist von einem Monat darf nur mit schriftlicher Begründung auf drei Monate verlängert werden. Krankheit der Datenschutzbeauftragten oder zu wenig Personal gelten nicht als triftiger Grund. Die Frist von einem Monat sollten Sie in Ihrem Auskunftsersuchen ausdrücklich angeben, damit Sie sich darauf beziehen können, falls es doch länger dauert und Sie sich bei Ihrer Aufsichtsbehörde beschweren wollen.

Natürlich muss die angefragte Stelle sicher sein, dass sie die Daten an die richtige Person herausgibt. Bei einem Onlineaccount zeigen Sie, dass er Ihnen gehört, zum Beispiel indem Sie die Anfrage mit derselben E-Mail-Adresse abschicken, mit der der Account erstellt wurde.

Es kann passieren, dass Sie zur Identitätsprüfung aufgefordert werden. In der Regel darf dazu nur eine Kopie der Vorderseite Ihres Personalausweises von Ihnen verlangt werden. Angaben außer Name, Anschrift, Geburtsdatum und Gültigkeitsdauer, Lichtbild und persönliche Merkmale sollten Sie auf der Kopie schwärzen (siehe z. B. Das Recht auf Auskunft bei der BfDI)

Das Medium, über das Sie die Auskunft beantragen, entscheidet (wenn nicht anders angegeben) über den Weg, den die Antwort nimmt: Fragen Sie per E-Mail, erhalten Sie die Antwort per E-Mail, fragen Sie per Brief, erreicht die Antwort Sie ebenfalls mit der Post.

Lassen Sie sich keinesfalls damit abwimmeln, die Ermittlung der über Sie gespeicherten Daten stelle einen unzumutbaren Arbeitsaufwand dar. Es gibt zwar (undefinierte) Grenzen der Zumutbarkeit, doch der Spielraum ist groß. So haben Gerichte geurteilt, dass es zumutbar sei, Hunderte von E-Mails nach personenbezogenen Daten zu durchsuchen und vor dem Weiterleiten fremde Daten penibel zu schwärzen. Unternehmen und Behörden dürfen Sie allerdings bitten, Ihre Anfrage einzugrenzen. Stellen Sie Ihre Anfrage nach Art. 15 DSGVO zum Beispiel bei der Stadt, in der Sie leben, werden Sie vielleicht gebeten, sich auf ein bestimmtes Amt zu beschränken (Sozialamt, Standesamt, Bauamt …). Die Pflicht zur Eingrenzung besteht aber nicht. Wenn Sie Ihre Anfrage nicht eingrenzen wollen oder können, muss die verantwortliche Stelle Ihrem Wunsch nachkommen.

Etwas knifflig wird die Sache, wenn Unternehmen Algorithmen als Betriebsgeheimnis ansehen. Aber auch hier ist die DSGVO auf Seiten der Betroffenen: Ein Betriebsgeheimnis darf nicht dazu führen, dass jegliche Auskunft verweigert wird. In solchen Fällen müssen trotzdem so viele Informationen herausgegeben werden, wie es möglich ist, ohne die Funktionsweise der Algorithmen preiszugeben. Personenbezogene Daten, die nur noch wegen gesetzlicher Aufbewahrungsfristen gespeichert werden (z. B. Daten aus der Geschäftskommunikation wie Zahlungsverkehr, Verträge und Absprachen) oder nur zu Archiv- und Protokollzwecken, fallen grundsätzlich nicht unter das Auskunftsrecht.

Generator für Auskunftsersuchen

Wenn Sie Ihr Recht auf Auskunft wahrnehmen wollen, können Sie sich beim Formulieren unterstützen lassen: Bei Auskunftsersuchen an Polizei, Verfassungsschutz, Länder, internationale Stellen und private Scoring-Agenturen (Schufa, Creditreform, Arvato Infoscore) hilft der Generator datenschmutz.de. Technisch und inhaltlich betreut wird das Projekt von der Roten Hilfe Heidelberg. Die Benutzung ist sehr einfach:

„(…) füllt einfach die Felder unten aus, wählt die Stellen, an die ihr Anfragen stellen wollt und klickt auf ‚Generieren‘. Ihr solltet dann ein PDF zurückkriegen, das ihr nur noch ausdrucken und unterschreiben müsst. Wenn euer Drucker halbwegs ok ist, dürften die Briefe zur Verwendung mit Fensterumschlägen taugen.“ (Quelle: datenschmutz.de)

Der gemeinnützige Verein Datenanfragen.de e. V. betreibt ebenfalls ein Tool für DSGVO-konforme Auskunftsersuchen an Unternehmen und Behörden. Der für einen oder mehrere Adressaten generierte Text kann direkt per E-Mail abgeschickt werden.

Sollten Sie auf Ihre Anfrage keine oder eine abschlägige Antwort erhalten, senden Sie eine zweite Anfrage (mit einer Kopie Ihrer ursprünglichen Anfrage) an die zuständige Datenschutzbehörde (meist diejenige des Bundeslandes, in dem die zur Auskunft verpflichtete Firma oder Institution ansässig ist).

Grenzen des Auskunftsrechts

Artikel 15 der DSGVO verbrieft ein umfassendes Auskunftsrecht. Doch immer wieder kommt es vor, dass eine Auskunft zunächst unvollständig ist. Erschwerend kommt hinzu, dass man selbst ja oft nicht weiß, welche Daten überhaupt vorliegen und somit herausgegeben werden müssten. Daher empfiehlt sich eine weitere Abfrage, wenn Sie vermuten, dass die Auskunft unvollständig ist.

Das Recht auf Auskunft gilt allerdings nicht uneingeschränkt. Sollten Sie jeden Monat oder gar jede Woche Datenauskunft verlangen, könnte Ihr Ersuchen abgelehnt oder nur kostenpflichtig bearbeitet werden. Wie oft Sie Auskunft einholen dürfen, ist nicht genau vorgeschrieben. Wenn Sie einem Unternehmen gegenüber regelmäßig viele personenbezogene Daten preisgeben und die fehlerhafte Erfassung oder Analyse Ihrer Daten großen Schaden anrichten würde, ist eine Abfrage in kurzen Abständen legitim. Andererseits müssen sich die verantwortlichen Stellen vor unverhältnismäßig vielen Anfragen schützen können, die ihnen womöglich gezielt schaden sollen. Richtgröße: Eine Auskunft pro Jahr ist definitiv im Rahmen.

Übrigens

Wer sich intensiver informieren will, kann zum Beispiel auf der Website der BfDI („Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit“) unter dem Link „Das Recht auf Auskunft (Art. 15 DSGVO)“ weitere Details zum Thema erfahren.

Es gibt auch professionelle Unterstützung bei allen Fragen rund um Ihre gespeicherten Daten: Das Projekt My Data Done Right hilft Ihnen bei Erstellung, Versand und Nachverfolgung Ihrer Anträge im Rahmen der DSGVO.

Digitalcourage setzt sich für Ihre Privatsphäre und Ihre Grundrechte ein. Unterstützen Sie unsere Arbeit mit einer Spende oder mit einer Fördermitgliedschaft.