Wer weiß was über mich? Das Recht auf Selbstauskunft

Jeder hat einen Anspruch darauf zu erfahren, wer welche personenbezogenen Daten über ihn gespeichert hat. Ob Schufa, Banken, Versicherungen oder sonstige nicht-öffentliche Stellen – sie müssen auf Anfrage gemäß § 34 des Bundesdatenschutzgesetzes (BDSG) Auskunft erteilen. Nachfolgend eine Übersicht über die Voraussetzungen und den Umfang dieses Rechts auf Selbstauskunft...

1. Wer kann den Auskunftsanspruch geltend machen?

Das Auskunftsrecht steht jedem so genannten Betroffenen zu, d.h. jeder bestimmten oder bestimmbaren natürlichen Person (§ 3 Abs.1 BDSG). Dies gilt unabhängig vom Wohnsitz der Person und unabhängig von deren Nationalität.

Falls ein Betroffener auf sein Auskunftsrecht verzichtet oder es einschränkt, z.B. durch eine vertragliche Vereinbarung, wäre dies nicht rechtmäßig. Denn der Anspruch kann nicht wirksam abbedungen werden.

2. Die Voraussetzungen des Auskunftsanspruchs

Gemäß § 34 Abs.1 BDSG gilt, dass die „verantwortliche Stelle“ dem Betroffenen auf Verlangen Auskunft zu erteilen hat über

• die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen,
• den Empfänger oder die Kategorien von Empfängern, an die Daten weitergegeben werden, und
• den Zweck der Speicherung.

„Verantwortliche Stelle“ ist dabei gemäß § 3 Abs. 7 BDSG jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt.
Hinweis: Ausnahmen vom Auskunftsanspruch bestehen nur in wenigen Fällen (z.B. gemäß § 34 Abs.7 BDSG).

3. Wie der Auskunftsanspruch geltend gemacht werden kann

Eine bestimmte Form für das Auskunftsverlangen ist nicht vorgeschrieben. Es ist daher möglich mündlich Auskunft zu verlangen, aber z.B. auch per Brief, Telefax oder E-Mail.

Der Adressat des Auskunftsverlangens muss allerdings in der Lage sein, den Betroffenen zweifelsfrei zu identifizieren, um zu verhindern, dass die Auskunft an unberechtigte Dritte gelangt. Insofern kann eine mündliche Anfrage problematisch sein. Zum Zwecke der Identifizierung können der vollständige Name, die Anschrift und ggf. das Geburtsdatum angegeben werden.

Eine Kopie des Personalausweises oder Reisepasses muss nicht beigelegt werden - allenfalls, wenn dies für die Identifizierung erforderlich wäre und sonstige Angaben nicht ausreichen. Nicht zur Identifizierung erforderliche Angaben auf dem Ausweis wie Augenfarbe oder Größe können geschwärzt werden. Nach der Identifizierung durch die verantwortliche Stelle anhand eines Ausweises, ist die erhaltene Ausweiskopie grundsätzlich zu vernichten.

Es ist sinnvoll, die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher zu bezeichnen (vgl. § 34 Abs.1 S.2 BDSG), verpflichtend ist dies jedoch nicht.

Hinweis: Die Daten, die der Betroffene zum Zwecke der Auskunftserteilung übermittelt, dürfen vom Adressaten ausschließlich für diesen Zweck sowie für Zwecke der Datenschutzkontrolle verwendet werden (§ 34 Abs.5 BDSG). Für andere Zwecke sind sie zu sperren.

4. Inhalt und Form der Auskunft

Die Auskunft umfasst gemäß § 34 Abs.1 BDSG die personenbezogenen Daten des Anspruchstellers und deren Herkunft. Anzugeben sind auch die Empfänger oder so genannte Kategorien von Empfängern (z.B. Branchenangabe), an die Daten herausgegeben wurden, sowie der Zweck der Speicherung.

Hinweis:

• Sondervorschriften zu den Herkunfts- und Empfängerangaben gelten für geschäftsmäßige Datenverarbeiter im Sinne des § 29 BDSG (z.B. Adresshändler, Auskunfteien oder Werbeunternehmen), beispielsweise gemäß § 34 Abs.1 S.3 BDSG, wonach sich der Datenverarbeiter nicht darauf berufen kann, es sei ihm die Auskunft über die Herkunft und die Empfänger mangels Speicherung dieser Angaben nicht möglich.
• Beim so genannten Scoring kann daneben gemäß § 34 Abs.2 BDSG ein weiterer Auskunftsanspruch geltend gemacht werden, was im Auskunftsverlangen klargestellt werden sollte. Inhaltlich umfasst eine solche Auskunft die Wahrscheinlichkeitswerte und die zu deren Berechnung genutzten Datenarten. Dabei sind das Zustandekommen und die Bedeutung der Wahrscheinlichkeitswerte einzelfallbezogen, nachvollziehbar und verständlich darzustellen, so dass der Betroffene weiß, ob der berechnete Wahrscheinlichkeitswert als gut, mittelmäßig oder schlecht einzustufen ist.

Gemäß § 34 Abs.6 BDSG ist die Auskunft grundsätzlich in Textform zu erteilen (z.B. per E-Mail). Verlangt der Betroffene dies nicht explizit, kann die Auskunft unter anderem schriftlich per Brief oder mündlich erteilt werden.

Hinweis:

• Die Auskunft ist unentgeltlich zu erteilen, bei geschäftsmäßigen Datenverarbeitern jedoch in der Regel nur einmal pro Kalenderjahr (§ 34 Abs.8 BDSG).
• Auskünfte sind in innerhalb eines angemessenem Zeitraums zu erteilen. Antwortet ein Unternehmen nicht, kann sich der Betroffene an die zuständige Datenschutz-Aufsichtsbehörde wenden. Zuständig ist die Behörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat.
• Kommt ein Unternehmen seiner Auskunftspflicht nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig nach, kann ein Bußgeld anfallen (§ 43 BDSG).

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .