Damit die umfassende Auskunft nicht zum Datenleck wird Auskunft nach DSGVO und die IT-Sicherheit

Der Bundesgerichtshof hat sich zur Reichweite des Auskunftsanspruchs nach DSGVO geäußert. So ist der Auskunftsanspruch Betroffener eher weit auszulegen und kann zum Beispiel interne Vermerke betreffen. Unternehmen sollten dies gut überlegt in ihren Datenschutz-Prozessen abbilden, um den Datenschutz einzuhalten, ohne die IT-Sicherheit zu gefährden.

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Die Betroffenen­rechte nach Datenschutz-Grundverordnung (DSGVO) gehören bekanntlich zu den großen Herausforderungen bei der Umsetzung und Einhaltung der DSGVO. So haben viele Unternehmen Schwierigkeiten damit, die Auskunftspflichten gegenüber den Betroffenen vollständig und fristgerecht zu erfüllen.

Doch selbst wer bisher glaubte, das Auskunftsrecht nach DSGVO bereits richtig umgesetzt zu haben, könnte nun wieder an der Stelle stehen, wo es um die korrekte Umsetzung dieses Datenschutzrechts geht.

Der Bundesgerichtshof (BGH) hat sich in seinem Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) zum Umfang des Auskunftsrechts nach Datenschutz-Grundverordnung geäußert. So mancher zeigte sich überrascht, wie weit der Auskunftsanspruch geht. Ohne auf die Details des Urteils einzugehen, soll an dieser Stelle ein Blick auf den Umfang der Auskunftspflichten geworfen werden.

So sagt der BGH: Gemäß (...) DSGVO sind "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dieser Definition und der Rechtsprechung des Gerichtshofs der Europäischen Union ist der Begriff weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte

Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

Einfach gesagt, geht es bei dem Auskunftsanspruch nicht nur zum Beispiel darum, welche Adressdaten von einer Person verarbeitet wurden. Auch interne Vermerke eines Unternehmens, die mit dem bestimmten Kunden als Betroffenen in Verbindung stehen, können in den Umfang des Auskunftsanspruchs fallen.

Das werden aber viele Unternehmen noch nicht so umgesetzt haben.

Probleme bei der (erneuten) Umsetzung vermeiden

Wenn nun die Umsetzung des Auskunftsrechts in einem Unternehmen (erneut) ansteht, sollte man alles dafür tun, es (diesmal) richtig zu machen. Nach diesem Urteil des BGH könnte es sonst passieren, dass Betroffene reklamieren, die ihnen erteilte Auskunft sei unvollständig.

Ein typisches Probleme bei der Umsetzung des Auskunftsrechts nach DSGVO ist, dass Unternehmen sich davon überzeugen müssen, dass derjenige, der um eine Auskunft ersucht, auch die betroffene Person ist. Man muss also die Identität des Antragstellers hinterfragen. Passiert dies nicht, könnten Datendiebe ein Auskunftsersuchen für Daten Dritter stellen und würden von dem Unternehmen entsprechend mit den Daten „beliefert“.

Die nächste Herausforderung ist, dass ein Unternehmen nicht versehentlich die Daten unbeteiligter Dritter in die Auskunft einbezieht. Die Daten des oder der Betroffenen sind also strikt zu trennen von den Daten Dritter. Andernfalls würde auch dies zu einem Datenleck führen, weil der Antragsteller dann auch Daten von anderen Personen zugeschickt bekäme.

Diese Trennung der Daten zwischen denen des oder der Betroffenen, der oder die das Auskunftsersuchen nach DSGVO stellt, und den Daten unbeteiligter Dritter wird natürlich nicht einfacher, wenn sich der Umfang der Auskunftspflichten nun als so weit darstellt. Aber es gibt weitere, mögliche Probleme bei der Umsetzung einer umfassenden, fristgerechten Auskunftserteilung.

Die Frage der Zugriffsberechtigungen nicht vergessen

Kommt es zu einem Auskunftsersuchen, müssen intern vielfältige Unterlagen und Informationen durchsucht werden, um eine vollständige Auskunft zu erreichen. Wie der BGH klarstellte, können zum Beispiel auch Vermerke und Schriftwechsel dazu gehören.

Nun stellt sich die Frage, wer die Informationen wie sichtet, auswertet und die Auskunft zusammenstellt. Selbst wenn die korrekte Identität des Antragstellers sichergestellt wurde, selbst wenn die Daten der verschiedenen Betroffenen sauber getrennt wurden, bleibt immer noch die Frage, wer denn die Daten zum Betroffenen intern einsammeln und zusammenstellen darf.

Da nicht jeder Nutzer / jede Nutzerin alle Informationen zum Beispiel zu allen Kunden einsehen darf, muss es Regelungen und Prozesse geben, wer welche Informationen beschafft und wie diese Informationen in der Auskunft so geschützt werden, dass auch intern keine unbefugte Person diese einsehen kann. Das war bisher schon notwendig, ist bei dem weiten Auskunftsanspruch nun aber nicht gerade leichter, im Gegenteil.

Es muss also Prozesse und Regelungen für die Erteilung der Auskunft geben, die die Zugriffsberechtigungen im Unternehmen berücksichtigen. Bei dem weiten Umfang der Auskunft wird dies keine leichte Aufgabe. Zudem müssen Verfahren zur Datenmaskierung oder anderweitigen (digitalen) Schwärzung von Daten zum Einsatz kommen.

Nur wenn die internen Prozesse zur Auskunftserteilung die Berechtigungen für die Datenzugriffe berücksichtigen, wenn die Daten Dritter nicht berührt werden und wenn die Identität der Antragsteller geprüft wird, kann man wirklich vermeiden, dass die Auskunft nach DSGVO ungewollt zur Datenschutzverletzung nach DSGVO wird. Andererseits bedeutet eine unvollständige und nicht fristgerechte Auskunft ebenfalls eine Datenschutzverletzung nach DSGVO. Hier ist also ein überlegtes Vorgehen sehr wichtig.

Unternehmen, die bereits das Auskunftsrecht umgesetzt glauben, sollten ihr Verfahren nun nochmals überprüfen und auch an die Frage der Berechtigungen für die Datenzugriffe denken, mit Blick auf den weiten Auskunftsanspruch, der eben auch interne Vermerke einschließen kann.

(ID:47739498)