Gute Auskunft, schlechte Auskunft

Das in Artikel 15 DSGVO festgeschriebene Auskunftsrecht ist eines
der zentralen Betroffenenrechte. Es gilt als ein wichtiges
Instrument zur Kontrolle der eigenen Daten, an das sich Rechte zur
Korrektur und Löschung von Daten anschließen. Per E-Mail lässt sich
bei Unternehmen und Behörden erfragen, welche Daten zu welchem
Zweck gespeichert sind, und woher sie stammen. Doch was auf den
ersten Blick einfach klingt, wirft in der Praxis viele Fragen auf,
wie die Diskussion im aktuellen c't-Datenschutz-Podcast zeigt. Zu
Gast ist Bettina Blavert, Syndikusrechtsanwältin und
Datenschutzexpertin bei der Sovendus GmbH. Sie sieht das
Auskunftsrecht sehr positiv, auch wenn es Unternehmen einiges
abverlangt. "Für Betroffene ist es Datenschutz zum Anfassen", sagt
sie. Holger und Joerg stimmen zu, weisen allerdings auf
Schwierigkeiten bei der Umsetzung des Rechts hin. So müssen
Unternehmen Betroffene zunächst einmal eindeutig identifizieren,
bevor sie Daten herausgeben, und das, ohne dabei selbst wieder zu
viele Daten abzufragen. Außerdem sei die Frist von einem Monat
durchaus knapp, wenn umfangreiche oder komplexe Datensätze
zusammengestellt werden müssen. Auch inhaltlich gibt es
Fallstricke: Müssen komplexe Datenstrukturen in Klartext übersetzt
werden? Wie sieht es mit Daten aus, die zwar einen Personenbezug
haben, aber zum Beispiel pseudonymisiert gespeichert sind? Und:
Dürfen Geschäftsgeheimnisse oder Rechte Dritter einer Auskunft
entgegenstehen? Die drei Diskutanten liefern Details aus der Praxis
und stellen klar: Das Auskunftsrecht ist ein mächtiges Instrument
für Betroffene, aber eben kein Selbstläufer. Unternehmen müssen
ihre Prozesse genau prüfen und anpassen, um nicht in
Schwierigkeiten zu geraten. Betroffene sollten wiederum genau
überlegen, was sie mit einer Anfrage bezwecken wollen. Denn bei
aller Auskunftsfreude: Wer es übertreibt, dem kann am Ende sogar
der Missbrauch dieses Rechts vorgeworfen werden.