Art. 15 regelt das Auskunftsrecht des Betroffenen. Ergänzend gilt § 34 des zeitgleich mit der Verordnung im Mai 2018 in Kraft tretenden  BDSG-Anpassungsgesetzes. Wie nach heutigem Bundesdatenschutzgesetz ist dies die Basis, um künftig insbesondere Berichtigung, Löschung oder Sperrung geltend zu machen.

Nach Art. 15 Abs.1 hat der Betroffene das Recht, von dem Verantwortlichen eine Bestätigung zu verlangen, ob dort ihn betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat er ein Recht auf unentgeltliche Auskunft über diese Daten. Zusätzlich erfasst das Auskunftsrecht auch noch folgende Informationen:

• Die Verarbeitungszwecke,
• die Kategorien der verarbeiteten personenbezogenen Daten (neu),
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder noch werden,
• falls möglich die geplante Speicherdauer (neu),
• das Recht auf Berichtigung, Löschung und Sperrung der Daten, ebenso das Widerspruchsrecht (neu),
• das bestehende Beschwerderecht bei einer Aufsichtsbehörde (neu),
• falls die Daten nicht beim Betroffenen erhoben wurden, die Information über die Datenherkunft und
• ggf. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (neu).

Bei Datenübermittlung in EU-Drittländer hat der Betroffene das Recht, über die geeigneten Garantien gemäß Art. 46 (z.B. Standardvertragsklauseln) unterrichtet zu werden.

Nach Art. 12 Abs. 1 sind die Auskünfte in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache zu übermitteln – je nach Fall schriftlich, elektronisch oder auch mündlich (Art. 12 Abs.1 Satz 2 und 3).

Die Auskunft muss nach Art. 12 Abs. 3 unverzüglich erfolgen, spätestens einen Monat nach Antragseingang. Ausnahmsweise ist bei Begründung (Komplexität, hohe Zahl von Anträgen) eine Fristverlängerung um 2 Monate möglich.

Hat der Verantwortliche begründete Zweifel an der Identität des Auskunftsersuchenden, so kann er zur Klärung zusätzliche Informationen anfordern.

Praxistipps:

• In einem typischen CRM-System umfasst die Auskunftspflicht - in Bezug auf den Anfragenden - insbesondere Rechnungs- und Lieferanschriften, Bestellhistorie und Informationen zur Zahlungsabwicklung.
• Kein Anspruch auf Auskunft besteht aber bezüglich zum Kunden gespeicherter Analysen (Europäischer Gerichtshof vom 17. Juli 2014) und Meinungsäußerungen (BGH, 28. Januar 2014).
• Das Auskunftsrecht findet seine Grenze, wenn Geschäftsgeheimnisse oder Rechte Dritter tangiert werden (Art.15 Abs. 4).                                                                                            

Zur Vertiefung: DDV-Best Practice Guide Europäische Datenschutz-Grundverordnung, 3. überarbeitete Auflage Juli 2019