Das Recht auf Auskunft nach Art. 15 DSGVO Ökumenischer Datenschutztag, 27. April 2022 Sven Hermerschmidt, BfDI Referat 11

Dreiteiliger Anspruchsinhalt  Anspruch auf Mitteilung, ob personenbezogene Daten verarbeitet werden – Art. 15 Abs.1 DSGVO  Beinhaltet auch Anspruch auf Negativauskunft → Ebenso § 17 Abs. 1 KDG → § 19 Abs. 1 EKD-DSG enthält diesen Anspruch nicht ausdrücklich  Auskunft über diese personenbezogenen Daten – Art. 15 Abs. 1 DSGVO → Ebenso § 17 Abs. 1 KDG und § 19 Abs. 1 EKD-DSG  Auskunft über die weiteren Informationen nach Art. 15 Abs. 1 lit. a) bis h) DSGVO → Ebenso § 17 Abs. 1 lit. a) bis h) KDG → § 19 Abs. 1 Satz 2 Nr. 1 bis 7 EKD-DSG vergleichbar, aber – da keine Entsprechung zu Art. 22 DSGVO – fehlt Auskunftsanspruch zu automatisierter Entscheidung und Profiling 2 29.04.2022 Titel der Präsentation Absender

Reichweite des Auskunftsrechts BGH, Urteil v. 15. Juni 2021, Az. VI ZR 576/19  „personenbezogene Daten, die verarbeitet werden“ Definition Art. 4 Nr. 1 DSGVO (§ 4 Nr. 1 EKD-DSG, § 4 Nr. 1 KDG) = Informationen, die sich auf eine identifizierbare natürliche Person beziehen keine einschränkende Auslegung im Rahmen des Auskunftsrechts  umfasst: Kommunikation mit der betroffenen Person, interne Kommunikation des Verantwortlichen und interne Vermerke, soweit diese personenbezogene Daten der betroffenen Person enthalten.  nicht umfasst: interne Bewertungen und rechtliche Analysen (soweit ohne konkreten Bezug zu Daten der betroffenen Person)  Ob die betroffene Person über die betreffenden Daten schon verfügt, spielt keine Rolle. Zweck Art. 15 DSGVO : • sich der Verarbeitung bewusst zu werden • deren Rechtmäßigkeit zu überprüfen 3 29.04.2022 Titel der Präsentation Absender

Reichweite des Auskunftsrechts Präzisierungsobliegenheit und Mehrebenenansatz o Bei Verarbeitung großer Datenmengen „sollte der Verantwortliche verlangen können“, dass die betroffene Person Informationen bzw. Verarbeitungsvorgänge präzisiert, auf die sich das Ersuchen bezieht. o Antwort „bezieht sich auf alles“ ausreichend. o BAG, Urteil vom 27. April 2021 – 2 AZR 342/20 verlangt Bestimmtheit unter Verweis auf die Vollstreckbarkeit eines Urteils (rein prozessuales Erfordernis).  Mehrebenenansatz (layered approach): o    Werden große Datenmengen verarbeitet, können u.U. auf einer ersten Ebene zunächst nur die wesentlichen Informationen und Verarbeitungsvorgänge mitgeteilt werden. o    Zwingend zu verbinden mit einer niedrigschwelligen Möglichkeit (optimal: Verlinkung), alle weiteren Informationen zu erhalten und dem Hinweis darauf. o    Art. 12 Abs. 1 DSGVO (§ 16 Abs. 1 EKD-DSG, § 14 Abs. 1 KDG): aus der Perspektive der betroffenen Person muss der Zugang zur Auskunft transparent, verständlich und in leicht zugänglicher Form ermöglicht werden. 4   29.04.2022 Titel der Präsentation Absender

Das Recht auf Kopie (Art. 15 Abs. 3 DSGVO)  Kein eigenständiges Betroffenenrecht, sondern regelt die Form der Auskunft nach Art. 15 Abs. 1 DSGVO.  Ist identisch in § 17 Abs. 3 KDG vorgesehen; in § 19 EKD-DSG hingegen keine Entsprechung  Umfang identisch zu Art. 15 Abs. 1 DSGVO-Komponente „personenbezogene Daten, die verarbeitet werden“ (kein darüber hinausgehendes Recht etwa auf Wiedergabe in der natürlichen Umgebung).  Kopie („copy“) nicht unbedingt eine Fotokopie, sondern jede Verkörperung o    Ausreichend etwa: pdf auf memory-stick, Online-Zugriff mit Download-Möglichkeit (soweit elektronisch Form nach Art. 12 Abs. 1 DSGVO angemessen!) o    Nicht ausreichend etwa: Einsichtnahme vor Ort, Online-Zugriff ohne Download-Möglichkeit 5  29.04.2022 Titel der Präsentation Absender

Grenzen des Auskunftsrechts Grundsatz und Art. 15 Abs. 4 DSGVO  Nur gesetzlich vorgesehene Ausnahmen                          keine allgemeine   Aber in § 19 Abs. 4 EKD-DSG Vhmkt.-Prüfung     vorgesehen!  Art. 15 Abs. 4 DSGVO, § 17 Abs. 4 KDG: Rechte und Freiheiten anderer Personen o    Geltung nicht nur für die Kopie. o    Auch Rechte des Verantwortlichen umfasst. o    Abwägung erforderlich. o    Darf nicht dazu führen, dass Auskunft vollständig versagt wird (ErwGr 63.) 6  29.04.2022 Titel der Präsentation Absender

Grenzen des Auskunftsrechts Art. 12 Abs. 5 DSGVO Offensichtlich unbegründet • bei objektiver Betrachtung offensichtlich, dass Voraussetzungen des Auskunftsrechts nicht erfüllt. • Negativauskunft i.d.R. einfacher bzw. passender.  Art. 12 Abs. 5 DSGVO (§§ 16 Abs. 5 EKD-DSG, 14 Abs. 5 KDG) Exzessiv • Fälle häufiger Wiederholung • Sonstige Fälle (Rechtsmissbrauch) 7 29.04.2022 Titel der Präsentation Absender

Grenzen des Auskunftsrecht Beschränkungen auf der Grundlage von Art. 23 DSGVO  EDPB-guidelines 10/2020 on restrictions under Article 23 GDPR  Rechtsgrundlage in EU-Recht oder nationalem Recht notwendig  § 34 BDSG (von DSK teilweise als europarechtswidrig angesehen)  Im EKD-DSG in § 19 Abs. 2 u. 4 (zu?) weitreichende Ausnahmen → Wahrnehmung des Auftrags der Kirche gefährdet? → Unverhältnismäßiger Aufwand?  Im KDG Sonderregelung für Archive (§ 17 Abs. 5 ) sowie weitgehende Übernahme des § 34 BDSG in § 17 Absätze 6 - 9 8 29.04.2022 Titel der Präsentation Absender

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Graurheindorfer Str. 153 53117 Bonn FON       +49 (0)228-997799-0 poststelle@bfdi.bund.de www.bfdi.bund.de