Tätigkeitsbericht 17-07-2019.indd
Datenschutzbericht bis 24.05.2018 (E= Eingabe/Beschwerde, B = Beratung) Anzahl 2017 Anzahl bis Anzahl ab Anzahl 2018 Fachgebiet gesamt 24.05.2018 25.05.2018 gesamt (E+B) (E+B) (E+B) (E+B) Wohnen, Miete, Nachbarschaft 328 148 248 396 Auskunfteien und Inkassounter- 205 118 533 651 nehmen Schulen, Hochschulen, Archive 189 78 296 374 Elektronische Kommunikation, 168 120 414 534 Internet Beschäftigtendatenschutz 163 59 197 256 Kommunen 148 52 172 224 Adresshandel, Werbung 130 71 161 232 Gesundheit, Pflege 112 142 397 539 Kreditwirtschaft 102 54 178 232 Soziales 95 40 62 102 Polizei, Strafverfahren, Justiz, 92 104 153 257 Verfassungsschutz Verkehr 71 39 134 173 Handel, Handwerk, Gewerbe 67 30 275 305 IT-Sicherheit, DV-Technik und 51 30 54 84 Herstelleranfragen Betriebliche/Behördliche DSB 34 4 468 472 Versorgungsunternehmen 32 48 76 124 Vereine und Verbände 32 16 323 339 Versicherungen 27 17 35 52 Datenschutz außerhalb DE/EU 23 0 5 5 Rundfunk, Fernsehen, Presse 18 4 21 24 Forschung, Statistik 14 10 4 14 Steuerwesen 10 4 7 11 Ausländerrecht 10 0 2 2 Sonstige Themen < 10 (z. B. Religionen und Glaubensge- 68 33 141 174 meinschaften, Landwirtschaft und Forsten, Geodaten) Gesamtsumme dokumentierter 2.189 1.221 4.356 5.577 Eingaben und Beratungen davon Summe der dokumentier- 2.001 881 2.171 3.052 ten Eingaben (ohne Abgaben) davon Summe der dokumentier- 188 340 2.185 2.525 ten Beratungen davon Eingaben und Beratungen 260 113 71 184 Videobeobachtung betreffend nur Juni zzgl. Summe telefonischer 1.703 5.808 2.420 7.159 Beratungen Juli bis Dez. 3.036 Gesamtsumme Eingaben und 7.997 3.641 9.095 12.736 Beratungen 71
Der Hessische Beauftragte für Datenschutz 47. Tätigkeitsbericht zum Datenschutz In einigen Bereichen stieg die Zahl der Eingaben (Beschwerden) sprungartig auf das Vielfache (Auskunfteien, elektr. Kommunikation, Handel usw.) an. In anderen Bereichen (Interne Datenschutzbeauftragte, Schulbereich, Kommu- nen, Vereine) war wiederum meine Beratung stärker gefragt. Im Nachhinein muss ich den Eindruck gewinnen, dass sich nur wenige Unternehmen, Verei- ne, Handel- und Gewerbetreibende etc. – aber auch öffentliche Stellen und Einrichtungen –, auch nur annähernd bewusst waren, welche Anforderungen die DS-GVO an sie stellen würde. Die obige Übersicht stellt die Mengen bis 24.05.2018 dar. 3.6.2 Sanktionen Im Berichtszeitraum wurden insgesamt 53 Ordnungswidrigkeitenverfahren, denen Verstöße gegen das BDSG a. F. zugrunde liegen, abgeschlossen. Damit konnte trotz der mit dem Wirksamwerden der DS-GVO verbundenen erheblichen Arbeitsbelastung ein Großteil der Rückstände aus den Vorjahren abschließend bearbeitet werden. Insgesamt wurden elf Verfahren mit einem Bußgeldbescheid bzw. einer Verwarnung (§ 56 OWiG) beendet und Geldbußen bzw. Verwarnungsgelder in Höhe von 17.100 EUR festgesetzt. Vier Alt-Fälle konnten aus Kapazitäts- gründen vor dem 25.05.2018 nicht mehr abschließend bearbeitet werden. Zwar unterfielen die Zuwiderhandlungen den Bußgeldtatbeständen des BDSG a. F., unter dem Regime der DS-GVO sind diese jedoch nicht mehr mit Geldbuße bedroht. In den betroffenen Fällen hatte die Änderung der Rechtslage zur Folge, dass das Tatzeitrecht (BDSG a. F.) aufgrund des in § 4 Abs. 3 OWiG normierten Prinzips der Meistbegünstigung nicht mehr angewendet werden konnte. Diese Ordnungswidrigkeitenverfahren mussten daher eingestellt werden. Im Übrigen lagen den abgeschlossenen Verfahren vorwiegend Verstöße gegen die Tatbestände des § 43 Abs. 1 und Abs. 2 BDSG a. F. zugrunde. Es wurden Verstöße gegen die Auskunftspflicht gegenüber den Betroffenen oder der Aufsichtsbehörde sowie gegen die Pflicht zur Bestellung eines Daten- schutzbeauftragten geahndet. Weiterhin bezogen sich zahlreiche Verfahren auf Vorfälle im Zusammenhang mit einer unzulässigen Datenerhebung bzw. -verarbeitung. Außergewöhnliche Fälle gab es nicht. 72
Datenschutzbericht bis 24.05.2018 3.6.3 Informationspflicht nach § 42a BDSG Vom 01.01.2018 bis zum 24.05.2018 kam es zu 51 Meldungen nach § 42a BDSG alter Fassung. Davon waren 19 sogenannte Verdachtsfälle, die nach der damaligen Rechtslage nicht zu melden waren, und 32 begründete Meldungen. Sachverhalt unrechtmäßiger Kenntniserlangung Anzahl Diebstahl von Kontounterlagen / Kundenunterlagen 3 Fehlerhafte Übermittlung von Kontodaten an Dritte 2 Fehlversand von Post mit Kontodaten 6 Fehlversand einer E-Mail mit personenbezogenen Daten diverser Kunden 1 Diebstahl von Laptops mit Kundendaten 1 Diebstahl Electronic-Cash Terminal 11 Fehlversand von Post mit personenbezogenen Daten gemäß § 3 Abs. 9 BDSG 3 Übermittlung personenbezogener Daten an unberechtigte Dritte 3 Fehlversand von Schreiben mit Gesundheitsdaten 2 Gesamtzahl der begründeten Meldungen 32 Zum Vergleich: Vom 25.05.2018 bis 31.12.2018 wurden 630 Datenschutz- verletzungen nach Art. 33 DS-GVO gemeldet; siehe hierzu auch Ziff. 4.11.3 und 4.11.4. 73
74
Datenschutzbericht ab 25.05.2018 4. Datenschutzbericht ab 25.05.2018 (nach DS-GVO, BDSG neu, HDSIG) Datenschutzbericht ab 25.05.2018 4.1 Querschnittthemen der DS-GVO 4.1.1 Zum Umfang des Auskunftsanspruchs nach Artikel 15 DS-GVO Einen Anspruch auf Herausgabe einzelner Kopien – z. B. im Sinne einer Fotokopie bestimmter Dokumente – enthält Art. 15 Abs. 3 DS-GVO in aller Regel nicht: Die Pflicht, eine Kopie zur Verfügung zu stellen, ist nicht mit einem allgemeinem Recht auf Zugang zu Informationen oder einem Akten- einsichtsrecht gleichzusetzen. Gleichwohl können Verantwortliche im Einzelfall auch zur Übersendung einer Fotokopie eines bestimmten Dokuments verpflichtet sein. Dies kann dann der Fall sein, wenn das Recht der Betroffenen, die Rechtmäßigkeit der Daten- verarbeitung eigenständig zu überprüfen, untrennbar hiermit verbunden ist. Art. 15 DS-GVO (1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen: a) die Verarbeitungszwecke; b) die Kategorien personenbezogener Daten, die verarbeitet werden; c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personen- bezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbe- sondere bei Empfängern in Drittländern oder bei internationalen Organisationen; d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten; h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. 75
Der Hessische Beauftragte für Datenschutz 47. Tätigkeitsbericht zum Datenschutz (2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organi- sation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden. (3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt. (4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. In den letzten Monaten erreichten meine Behörde vermehrt Anfragen, die sich mit dem Auskunftsanspruch nach Art. 15 DS-GVO und insbesondere mit der Reichweite der Regelung des Art. 15 Abs. 3 DS-GVO beschäftigen. Machen Betroffene ihr Auskunftsrecht nach Art. 15 DS-GVO geltend, so sind Verantwortliche gemäß Art. 15 Abs. 3 DS-GVO dazu verpflichtet, auch eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Zu klären ist daher zum einen, ob Art. 15 Abs. 3 DS-GVO in Zusammenschau mit Art. 15 Abs. 4 DS-GVO ein eigen- ständiges, neben Art. 15 Abs. 1 DS-GVO stehendes Recht der betroffenen Person begründet. Zum anderen stellt sich die Frage der Interpretation – und damit letztlich der Reichweite – des Kopie-Begriffs. Bedeutung des Auskunftsrechts Das Auskunftsrecht des Art. 15 DS-GVO verfolgt in datenschutzrechtlicher Hin- sicht verschiedene Ziele: Aus Erwägungsgrund 63 ergibt sich, dass Betroffene durch die Ausübung des Auskunftsrechts Bewusstsein über die Verarbeitung ihrer personenbezogenen Daten erlangen und in die Lage versetzt werden sollen, die Rechtmäßigkeit der Datenverarbeitung überprüfen zu können. Darüber hinaus kann Art. 15 DS-GVO den Weg für die Ausübung weiterer datenschutzrechtlicher Gestaltungsrechte, wie z. B. Recht auf Berichtigung gemäß Art. 16 DS-GVO oder Recht auf Löschung nach Art. 17 DS-GVO, bereiten oder der Geltendmachung von Schadensersatzansprüchen dienen. Dem Auskunftsrecht kommt bei der Durchsetzung des Rechts auf informa- tionelle Selbstbestimmung somit maßgebliche Bedeutung zu. 76
Datenschutzbericht ab 25.05.2018 Umfang des Auskunftsrechts nach Art. 15 Abs. 1 DS-GVO Der Bedeutung des Auskunftsrechts entsprechend legt Art. 15 Abs. 1 DS-GVO fest, dass die betroffene Person das Recht hat, von den Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Bejahen Verantwortliche die Verarbeitung perso- nenbezogener Daten, so sind der betroffenen Person die in Art. 15 Abs. 1 lit. a bis h DS-GVO und Abs. 2 DS-GVO näher beschriebenen Informationen zur Verfügung zu stellen. Keine Erweiterung des Auskunftsrechts nach Art. 15 Abs. 3 DS-GVO Durch Art. 15 Abs. 3 DS-GVO werden Verantwortliche verpflichtet, „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Darüber hinaus spricht Art. 15 Abs. 4 DS-GVO vom „Recht auf Erhalt einer Kopie“. Daher wird vertreten, dass es sich um eine inhaltliche Erweiterung im Sinne eines eigenständigen Herausgaberechts gegenüber dem in Art. 15 Abs. 1 DS-GVO enthaltenen Auskunftsrecht handelt. Ich bin der Auffassung, dass Art. 15 Abs. 3 und 4 DS-GVO kein von Art. 15 Abs. 1 DS-GVO losgelöstes Recht ist. Verantwortliche müssen der in Art. 15 Abs. 3 DS-GVO enthaltenen Verpflichtung daher auch ohne entsprechenden Hinweis der Betroffenen nachkommen. Dafür spricht der Wortlaut des Art. 15 Abs. 3 DS-GVO. Hiernach ist Betroffenen eine Kopie der personenbezo- genen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind. Art. 15 Abs. 3 DS-GVO konkretisiert insofern den Wortlaut des Art. 15 Abs. 1 lit. b DS-GVO: Den Betroffenen sind nicht nur die Kategorien per- sonenbezogener Daten, die verarbeitet werden, aufzuzeigen, sondern ihre spezifischen personenbezogenen Daten mitzuteilen. Art. 15 Abs. 3 DS-GVO präzisiert somit die in Art. 15 Abs. 1 lit. b DS-GVO enthaltene Regelung zum Umfang des Auskunftsrechts und bestimmt die Art und Weise (Kopie) der Auskunftserteilung. Weitergehend ist zu beachten, dass der Europäische Gesetzgeber den Betroffenen nicht nur das in Art. 15 DS-GVO enthaltene Auskunftsrecht gewährt, sondern mit dem Recht auf Datenübertragbarkeit in Art. 20 DS- GVO einen eigenen Herausgabeanspruch zu Gunsten der Betroffenen be- gründet. Während das Auskunftsrecht den Betroffenen die Möglichkeit gibt, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen, und diese damit gegebenenfalls erst in die Lage versetzt, weitergehende Datenschutzrechte (z. B. Berichtigung oder Löschung) geltend zu machen, soll es das Recht auf Datenübertragbarkeit den Betroffenen erleichtern, über ihre Daten zu verfügen (z. B. durch Verschieben in eine andere IT-Umgebung oder durch 77
Der Hessische Beauftragte für Datenschutz 47. Tätigkeitsbericht zum Datenschutz Übertragung/Bereitstellung einer Kopie eines vorhandenen Datensatzes). Es ist daher nicht ersichtlich, warum Art. 15 Abs. 3, 4 DS-GVO ein neben Art. 20 DS-GVO stehendes Herausgaberecht begründen sollte. Für den Inhalt des Auskunftsrechts gelten die allgemeinen Maßstäbe des Art. 12 DS-GVO. Die Auskünfte müssen präzise, transparent, verständlich und leicht zugänglich in einer klaren und einfachen Sprache formuliert sein. Das „Abspeisen“ durch kommentarlose Überlassung von Kopien ist grundsätzlich nicht zulässig. Daraus folgt, dass Art. 15 Abs. 3 DS-GVO kein zusätzliches Recht auf Überlassung einer Kopie der personenbezogenen Daten meint, sondern voraussetzt, dass dem Auskunftsanspruch nach Art. 15 Abs. 1 DS- GVO die Überlassung einer Kopie ausreicht. Das Recht aus Art. 15 Abs. 4 DS-GVO reicht nicht weiter als die vorausgesetzten Rechte nach Art. 15 Abs. 1 und Abs. 3 DS-GVO. Kein allgemeines Recht auf Zugang zu Informationen/ Akteneinsichtsrecht Aufgrund des Wortlauts des Art. 15 Abs. 3 DS-GVO „Kopie der personenbe- zogenen Daten, die Gegenstand der Verarbeitung sind“, stellt sich für Verant- wortliche und Betroffene die Frage nach der Reichweite des Auskunftsrechts. Beschäftigt man sich mit der Bedeutung des Begriffs „Kopie“, so findet man z. B. folgende Begriffsbeschreibungen: „Abschrift, Doppel eines Schriftstücks, Fotokopie, Nachahmung“. Maßgeblich ist somit das Verständnis des in Art. 15 Abs. 3 DS-GVO verwendeten Kopie-Begriffs. Wird in der „Kopie der personenbezogenen Daten, die Gegenstand der Ver- arbeitung sind“, das Doppel eines Schriftstücks oder eine Fotokopie verstan- den (nachfolgend bezeichnet als „Kopie“), so würde dies dazu führen, dass Betroffene nach Art. 15 Abs. 3 DS-GVO z. B. einen generellen Anspruch auf die Übersendung sämtlicher geführter E-Mail-Korrespondenz hätten, sofern hierin Daten zu ihrer Person enthalten sind. Ich verstehe den Kopie-Begriff des Art. 15 Abs. 3 DS-GVO im Sinne einer sinnvoll strukturierten Zusammenfassung. Den Betroffenen müssen daher nicht sämtliche, sie betreffende Dokumente in Kopie zur Verfügung gestellt werden. Art. 15 Abs. 3 DS-GVO regelt lediglich die Art und Weise der Auskunfts erteilung und hat gegenüber Art. 15 Abs. 1 DS-GVO dienende Funktion: Den Betroffenen wird noch einmal – durch Bereitstellung einer strukturierten Zusammenfassung ihrer personenbezogenen Daten – im Kontext kenntlich gemacht, welche Daten zu ihrer Person vom Verantwortlichen verarbeitet werden. 78
Datenschutzbericht ab 25.05.2018 Dies entspricht auch der Wertung des Art. 12 Abs. 1 DS-GVO, wonach der Verantwortliche durch geeignete Maßnahmen alle Mitteilungen, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln hat. Art. 12 DS-GVO (1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informa- tionen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde. (2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. (3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt. (4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen. (5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Un- terrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder b) sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. … 79
Der Hessische Beauftragte für Datenschutz 47. Tätigkeitsbericht zum Datenschutz Auch der Bedeutung des Auskunftsrechts ist hiermit vollumfänglich Rechnung getragen. Denn die Betroffenen werden hierdurch in die Lage versetzt, sich der Verarbeitung ihrer personenbezogenen Daten bewusst zu werden und die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Sie können ihre datenschutzrechtlichen Gestaltungsrechte ausüben und – sofern sie sich hierin verletzt sehen – z. B. Schadensersatzansprüche geltend machen oder ihr Recht auf Beschwerde bei einer Aufsichtsbehörde wahrnehmen. Die Bereitstellung einer strukturierten Zusammenfassung entspricht auch dem Ziel der DS-GVO, natürliche Personen bei der Verarbeitung ihrer per- sonenbezogenen Daten zu schützen, vgl. Art. 1 Abs. 1 DS-GVO. Wird der Kopie-Begriff des Art. 15 Abs. 3 DS-GVO grundsätzlich weit ausgelegt, so besteht die Gefahr, dass das Auskunftsrecht des Art. 15 DS-GVO als all- gemeines Recht auf Zugang zu Informationen oder als Akteneinsichtsrecht verstanden wird, mit der Folge, dass die Geltendmachung von Art. 15 DS- GVO nicht zur Verfolgung von Datenschutzzielen im Sinne der DS-GVO, sondern zur Verwirklichung anderer Ziele missbraucht wird. Schließlich entspricht das Verständnis des Begriffs als strukturierte Zu- sammenfassung auch der in Art. 15 Abs. 4 DS-GVO enthaltenen Wertung. Hiernach darf das Recht auf Erhalt einer Kopie gemäß Abs. 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Werden den Betroffenen Kopien von Schriftstücken oder Dokumenten zur Verfügung gestellt, so kann sich bei mangelnder Sorgfalt das Risiko erhöhen, dass den Betroffenen auch Informationen zur Verfügung gestellt werden, die möglicherweise Rech- te Dritter tangieren. Fertigen Verantwortliche hingegen eine strukturierte Zusammenfassung und tragen hierbei die personenbezogenen Daten der Betroffenen eigenständig zusammen, ist dieses Risiko deutlich minimiert. 4.1.2 Handhabung des Auskunftsrechts nach Art. 15 DS-GVO im Bereich des Beschäftigtendatenschutzes Umfang sowie Art und Weise der Auskunftserteilung im Beschäftigungsver- hältnis sind vom Verantwortlichen jeweils in einer Zusammenschau von Art. 15 Abs. 1 und Abs. 3 DS-GVO im Einzelfall zu bestimmen. Je nach Umständen kann die Auskunft durch eine strukturierte Zusammenfassung der Daten, die Gegenstand der Verarbeitung sind, oder einer Kopie erfolgen. Gehen Verantwortliche vom Vorliegen der Voraussetzungen einer Einschränkung des Auskunftsrechts aus, sind die Betroffenen hierüber zu informieren. Durch ein Beschäftigungsverhältnis werden eine Vielzahl von personen- bezogenen Datenverarbeitungen begründet. Mehrfach haben sich daher 80
