Bei jeder Erhebung personenbezogener Daten müssen Unternehmen ihre Mitarbeiter*innen und Kund*innen darüber aufklären, zu welchem Zweck und in welchem Umfang die Daten verarbeitet werden. Diese Informationspflichten, deren Umfang in den Artikeln 13 und 14 der DSGVO normiert ist, werden mit den sogenannten „Datenschutzerklärungen" erfüllt.

Darüber hinaus müssen Unternehmen auch Auskunft über die erfolgte Datenverarbeitung erteilen, wenn Betroffene von ihrem Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO Gebrauch machen. Die Erfüllung dieses Anspruches kann mit erheblichem Aufwand für das Unternehmen verbunden sein, auch weil die Auskünfte grundsätzlich innerhalb eines Monats erteilt werden müssen.

Unvollständige Auskunftserteilungen können zu Bußgeldern führen

Unternehmen sollten daher frühzeitig interne Betriebsabläufe festlegen, die eine effiziente Bearbeitung von Auskunftsansprüchen sicherstellen. Denn Verstöße gegen die Auskunftspflicht werden aufgrund ihrer einfachen Feststellbarkeit – im Vergleich zu anderen Datenschutzverstößen – überdurchschnittlich häufig bei Aufsichtsbehörden gemeldet. Dort können sie grundsätzlich mit Geldbußen von bis zu 20 Mio. EUR oder 4 % des (Konzern-) Jahresumsatzes geahndet werden (Art. 83 Abs. 5 lit. b) DSGVO). Zudem haben einige Gerichte Betroffenen Schadensersatzansprüche in vierstelliger Höhe zugesprochen, weil die Betroffenen bei einer verspäteten oder unvollständigen Auskunft über die Verarbeitungsvorgänge im Ungewissen bleiben (Art. 82 Abs. 1 DSGVO).

Daher ist es kein Zufall, dass Auskunftsansprüche häufig erst dann geltend gemacht werden, wenn die Beziehung zwischen Anspruchsteller*in und Unternehmen in Schieflage geraten ist. So kommt dies beispielsweise in Kündigungsschutzprozessen vor, in denen sich Betroffene von der Geltendmachung des Auskunftsanspruches die Stärkung ihrer eigenen Verhandlungsposition versprechen.

Verweigerung der Auskunft bei unbegründeten oder missbräuchlichen Anträgen im Einzelfall möglich

Unternehmen können die Erteilung von Auskünften jedoch verweigern, wenn der Antrag auf Auskunft offenkundig unbegründet oder exzessiv ist oder die Betroffenen missbräuchlich von ihrem Auskunftsrecht Gebrauch gemacht haben (Art. 12 Abs. 5 S. 2 lit. b) DSGVO). Als rechtsmissbräuchlich gelten Auskunftsanträge insbesondere dann, wenn sie nicht darauf abzielen, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen, sondern sachfremde Zwecke verfolgen.

Ob das der Fall ist, hängt von den Umständen des konkreten Antrags ab und bedarf deswegen stets einer Einzelfallbetrachtung. Eine Zurückweisung des Auskunftsersuchens kommt vor allem dann in Betracht, wenn die Betroffenen lediglich die Belastung des Unternehmens mit einem für die Erteilung der Auskunft unverhältnismäßig hohem Arbeitsaufwand erreichen möchten, ohne an der Auskunft selbst interessiert zu sein.

Die Beweislast für den Rechtsmissbrauch liegt bei den Verantwortlichen

Allerdings trägt das Unternehmen die Beweislast für den Einwand des Rechtsmissbrauchs. Das bereitet in der Praxis erhebliche Schwierigkeiten, denn die Betroffenen müssen ihren Auskunftsantrag nicht begründen. Doch ungerechtfertigte Zurückweisungen eines Auskunftsersuchens stellen ebenfalls eine bußgeld- und schadensersatzbewehrte Verletzung von Betroffenenrechten dar. Daher sollten Auskünfte nur dann verweigert werden, wenn klare Indizien dafür vorliegen, dass Betroffene an der Auskunft gar nicht interessiert sind oder diese aus sachfremden Gründen begehren. Die Gründe für die Ablehnung sollten sorgfältig dokumentiert und den Betroffenen – in verkürzter Form – auch mitgeteilt werden.