Der Hessische Datenschutzbeauftragte hat seinen 47. Tätigkeitsbericht veröffentlicht. Bemerkenswert sind Vor allemseine Ausführungen zum Umfang des Auskunftsanspruchs nach Art. 15 DSGVO.
Zunächst äussert er sich zum Gegenstand des Auskunftsrechts, wie folgt:
Einen Anspruch auf Herausgabe einzelner Kopien – z.B. im Sinne einer Fotokopie bestimmter Dokumente – enthält Art. 15 Abs. 3 DS-GVO in aller Regel nicht: Die Pflicht, eine Kopie zur Verfügung zu stellen, ist nicht mit einem allgemeinem Recht auf Zugang zu Informationen oder einem Akteneinsichtsrecht gleichzusetzen
Diese Auffassung ist auch nach dem schweizerischen DSG richtig. Auch hier richtet sich der Auskunftsanspruch auf Personendaten, nicht auf Dokumente, die Personendaten enthalten.
Der Hessische Beauftragte begründet seine Auffassung wie folgt:
Ich bin der Auffassung, dass Art. 15 Abs. 3 und 4 DS-GVO kein von Art. 15 Abs. 1 DS-GVO losgelöstes Recht ist. Verantwortliche müssen der in Art. 15 Abs. 3 DS-GVO enthaltenen Verpflichtung daher auch ohne entsprechenden Hinweis der Betroffenen nachkommen. Dafür spricht der Wortlaut des Art. 15 Abs. 3 DS-GVO. Hiernach ist Betroffenen eine Kopie der personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind. Art. 15 Abs. 3 DS-GVO konkretisiert insofern den Wortlaut des Art. 15 Abs. 1 lit. b DS-GVO: Den Betroffenen sind nicht nur die Kategorien personenbezogener Daten, die verarbeitet werden, aufzuzeigen, sondern ihre spezifischen personenbezogenen Daten mitzuteilen. Art. 15 Abs. 3 DS-GVO präzisiert somit die in Art. 15 Abs. 1 lit. b DS-GVO enthaltene Regelung zum Umfang des Auskunftsrechts und bestimmt die Art und Weise (Kopie) der Auskunftserteilung.
Weiter ist mit “Kopie” nicht gemeint, dass jedes einzelne Personendaten bereitzustellen ist:
Ich verstehe den Kopie-Begriff des Art. 15 Abs. 3 DS-GVO im Sinne einer sinnvoll strukturierten Zusammenfassung. Den Betroffenen müssen daher nicht sämtliche, sie betreffende Dokumente in Kopie zur Verfügung gestellt werden.
Art. 15 Abs. 3 DS-GVO regelt lediglich die Art und Weise der Auskunftserteilung und hat gegenüber Art. 15 Abs. 1 DS-GVO dienende Funktion: Den Betroffenen wird noch einmal – durch Bereitstellung einer strukturierten Zusammenfassung ihrer personenbezogenen Daten – im Kontext kenntlich gemacht, welche Daten zu ihrer Person vom Verantwortlichen verarbeitet werden.
Bei Mitarbeiterdaten hält der Hessische Beauftragte folgendes für ausreichend:
-
Bereitstellung eines Auszugs des Profils von Betroffenen bei Nutzung eines Personalinformationssystems durch Verantwortliche
-
Liste der zu einer Person gespeicherten Schriftstücke oder Aktenzeichen bei Nutzung eines Dokumentenmanagement- oder Registratursystems
Ein Anspruch auf Kopie einzelner Dokumente kann bestehen, wenn Dies notwendig ist, um die Rechtmässigkeit der Datenverarbeitung zu überprüfen. Es dürfte aber in aller Regel genügen, dem Betroffenen die im Dokument enthaltenen Daten mitzuteilen. Die Kopie eines Dokuments oder einer E‑Mail müsse in der Regel nicht zur Verfügung gestellt werden.Sodann sei es im Arbeitsverhältnis zulässig, von Betroffenen zu verlangen, ihr Auskunftsersuchen zu präzisieren.