DSGVO: Anspruchsteller muss bei Auskunft mitwirken

Laut der DSGVO, die gerade erst ihren fünften Geburtstag feierte, steht Personen ein Auskunftsanspruch zu, um in Erfahrung zu bringen, welche Daten zu welchem Zweck bei einem Unternehmen oder einer öffentlichen Stelle gespeichert wurden. Im Online-Handel kann beispielsweise ein Käufer ein Auskunftsersuchen an einen Händler richten, welche Kunden- und Bestelldaten das Unternehmen von ihm speichert und verwendet.

Das Unternehmen hat die Auskunft unverzüglich zu beantworten. Dabei ergeben sich jedoch häufig Streitigkeiten, denn der Umfang der Auskunft und die weiteren Formalitäten sind nicht klar gesetzlich geregelt.

Vor Auskunft: Überprüfung der Identität erforderlich

Immer wieder haben sich Gerichte mit der Frage zu befassen, wer und wie einen Auskunftsanspruch hat. Beispielsweise bekräftigte das AG München, dass alle vorhandenen Daten, zu denen ein Bezug zur auskunftsberechtigten Person hergestellt werden kann, umfasst sind. Erfolgt die Auskunft gar nicht, zu spät oder nicht umfassend genug, werden neuerdings immer wieder Bußgelder verhängt.

Doch auch die Person, die um die Auskunft bittet, hat Mitwirkungspflichten. Nach der DSGVO darf ein Unternehmer nicht auf jedes Auskunftsersuchen reagieren, denn dann bestünde eine akute Missbrauchsgefahr und die Daten könnten schlimmstenfalls in die falschen Hände geraten.

Bestehen beispielsweise Zweifel an der Identität der betroffenen Person, kann der Unternehmer weitere Informationen anfordern. Hat der Verantwortliche begründete Zweifel an der Identität der betroffenen Person, so sollte er also alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen. Nennt die Person beispielsweise nur ihren Namen, kann das Unternehmen Adresse, Geburtstag und/oder Kundennummer abfragen, um die Person zweifelsfrei einordnen zu können. 

Geburtsdatum ist zur Identifizierung geeignet

So geschehen war es in einem Fall in Berlin (Verwaltungsgericht Berlin, 1. Kammer, Entscheidung vom 24.04.2023, Aktenzeichen: VG 1 K 227/22). Ein Betroffener forderte Auskunft über seine gespeicherten Daten bei einer Wirtschaftsauskunftei, die ihm jedoch zu Recht, wie das Gericht feststelle, verweigert wurde. Weil der Berliner Datenschutzbeauftragte den Fall aus ebendiesen Gründen nicht weiterverfolgte, wollte der Betroffener klagen, bekam aber die erforderliche Prozesskostenhilfe wegen der offensichtlichen Erfolglosigkeit des Falles nicht bewilligt.

Das Gericht begründete die Versagung aus den offensichtlichen Gründen: Für den Betroffenen bestehe eine Mitwirkungsobliegenheit, denn ohne dessen Mitwirkung wird es dem Verantwortlichen auch bei einem sehr seltenen Namen nicht möglich sein, die dargelegten Identitätszweifel zu entkräften.

Hintergrund der Regelung sei es, dass die Informationen nur denjenigen zur Verfügung gestellt werden sollen, die auch tatsächlich durch die Datenverarbeitung betroffen sind. Dabei sei auch die Sensibilität der abgefragten Informationen zu berücksichtigen gewesen. Die Anforderung der Auskunftei, der Antragsteller möge zur Identifikation sein Geburtsdatum und gegebenenfalls frühere Anschriften nennen, stellt sich als in diesem Sinne vertretbare Maßnahme zur Identifikation dar und verstieß nicht gegen die DSGVO.