Auskunftsrecht

Definition: Das Auskunftsrecht gemäß Art. 15 der Datenschutz-Grundverordnung (DSGVO) ist eines der zentralen Betroffenenrechte und gibt jeder natürlichen Person das Recht zu erfahren, ob ein Verantwortlicher personenbezogene Daten über sie verarbeitet. Besteht eine solche Verarbeitung, hat die betroffene Person Anspruch auf umfassende Auskunft über die Kategorien der verarbeiteten Daten, die Verarbeitungszwecke, die Empfänger oder Empfängerkategorien, denen die Daten offengelegt wurden oder werden, die geplante Speicherdauer sowie über ihre weiteren Rechte auf Berichtigung, Löschung und Widerspruch. Darüber hinaus umfasst das Auskunftsrecht das Recht auf eine kostenlose Kopie der verarbeiteten personenbezogenen Daten in einem gängigen Format. Im Online Marketing ist das Auskunftsrecht besonders relevant, weil Unternehmen dort typischerweise umfangreiche Datensätze über Kunden und Interessenten verwalten – aus CRM-Systemen, E-Mail-Marketing-Plattformen, Web-Analytics, Werbeplattformen und Loyalty-Programmen. Die Beantwortung einer vollständigen Auskunftsanfrage erfordert daher oft den Abruf aus mehreren Systemen und eine konsolidierte Aufbereitung aller relevanten Daten.

Erläuterung

Das Auskunftsrecht nach Art. 15 DSGVO ist nicht nur ein formales Transparenzinstrument, sondern dient der betroffenen Person als Grundlage für die Ausübung weiterer Rechte: Wer weiß, welche Daten über ihn gespeichert sind, kann gezielt Berichtigung, Löschung oder Widerspruch beantragen. Aus diesem Grund ist das Auskunftsrecht praktisch das wichtigste der in den Art. 15–22 DSGVO geregelten Betroffenenrechte.

Der Verantwortliche ist verpflichtet, auf eine Auskunftsanfrage unverzüglich, spätestens aber innerhalb eines Monats nach Eingang der Anfrage zu antworten. Bei komplexen oder zahlreichen Anfragen kann diese Frist um weitere zwei Monate verlängert werden – die betroffene Person muss darüber jedoch innerhalb des ersten Monats mit Angabe der Gründe informiert werden. Die Auskunft muss in einer klaren und verständlichen Sprache erteilt werden, die für den Empfänger nachvollziehbar ist.

Die Auskunft ist grundsätzlich kostenlos zu erteilen. Bei offensichtlich unbegründeten oder exzessiven Anfragen – insbesondere wenn sie sich wiederholen – kann der Verantwortliche entweder ein angemessenes Entgelt verlangen oder die Anfrage ablehnen. Die Beweislast für den offensichtlich unbegründeten oder exzessiven Charakter liegt beim Verantwortlichen.

Ein häufiges Missverständnis betrifft den Umfang der Auskunft: Sie umfasst nicht nur offensichtlich gespeicherte Daten wie Name und E-Mail-Adresse, sondern alle personenbezogenen Daten – also auch technische Daten wie IP-Adressen und Gerätekennnummern, Verhaltensdaten aus dem Webtracking, Kaufhistorien, Kommunikationsprotokolle, Scoring-Werte im CRM sowie Daten aus Werbeplattformen, sofern der Verantwortliche Zugriff darauf hat. Auch die Herkunft der Daten und etwaige automatisierte Entscheidungen (Profiling) müssen offengelegt werden.

Inhalt einer vollständigen Auskunft nach Art. 15 DSGVO

• Verarbeitungszwecke: Zu welchem Zweck werden die Daten verarbeitet (z. B. Vertragsabwicklung, Newsletter-Marketing, Webanalyse)?
• Datenkategorien: Welche Arten personenbezogener Daten werden verarbeitet (z. B. Kontaktdaten, Kaufdaten, Tracking-Daten)?
• Empfänger: An welche Empfänger oder Kategorien von Empfängern wurden die Daten weitergegeben (z. B. E-Mail-Dienstleister, Werbenetzwerke)?
• Speicherdauer: Wie lange werden die Daten gespeichert oder nach welchen Kriterien wird die Speicherdauer festgelegt?
• Herkunft der Daten: Falls die Daten nicht direkt von der betroffenen Person erhoben wurden, aus welcher Quelle stammen sie?
• Rechtsgrundlage: Auf welcher Rechtsgrundlage (Einwilligung, Vertragserfüllung, berechtigtes Interesse etc.) erfolgt die Verarbeitung?
• Rechte der betroffenen Person: Hinweis auf die Rechte auf Berichtigung, Löschung, Einschränkung, Datenportabilität und Widerspruch.
• Beschwerderecht: Information über das Recht, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen.
• Automatisierte Entscheidungsfindung: Falls Profiling oder automatisierte Entscheidungen stattfinden, müssen aussagekräftige Informationen über die involvierte Logik und die möglichen Auswirkungen mitgeteilt werden.
• Drittlandübermittlungen: Falls Daten in Drittländer außerhalb der EU übermittelt werden, ist über die geeigneten Garantien (z. B. Standardvertragsklauseln) zu informieren.

Praktische Herausforderungen im Online Marketing

• Datensilo-Problem: Kundendaten sind auf viele Systeme verteilt (CRM, E-Mail-Tool, Shop-System, Analytics). Für eine vollständige Auskunft müssen alle Systeme abgefragt werden.
• Identifikation des Anfragenden: Der Verantwortliche darf die Identität der anfragenden Person verifizieren, sollte dabei aber keine unverhältnismäßigen Nachweise fordern.
• Drittanbieter-Daten: Bei Daten, die aus Werbenetzwerken oder Third-Party-Quellen stammen, muss der Verantwortliche prüfen, inwieweit er Auskunft zu diesen geben kann.
• Technische Exportfunktionen: Nicht alle eingesetzten Tools bieten eine einfache Export-Funktion für personenbezogene Daten einzelner Personen. Dies muss bei der Tool-Auswahl berücksichtigt werden.