Welche Auskünfte muss ein Unternehmen bei einem Auskunftsbegehren erteilen?
Ein Unternehmen muss auf Verlangen mitteilen, ob Personendaten bearbeitet werden, und der betroffenen Person die Informationen geben, die zur Wahrnehmung ihrer Rechte und für eine transparente Datenbearbeitung erforderlich sind. In jedem Fall gehören dazu insbesondere Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Personendaten, Zweck, Aufbewahrungsdauer oder deren Kriterien, Herkunft, gegebenenfalls automatisierte Einzelentscheidung samt Logik sowie gegebenenfalls Empfängerinnen und Empfänger oder deren Kategorien.
Bei einem Auskunftsbegehren besteht zunächst ein Anspruch darauf zu erfahren, ob Personendaten über die betroffene Person bearbeitet werden. Darüber hinaus sind diejenigen Informationen zu erteilen, die erforderlich sind, damit die betroffene Person ihre Rechte nach dem Datenschutzgesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Das Gesetz nennt dafür einen Mindestinhalt, der in jedem Fall mitzuteilen ist. Zu prüfen ist deshalb nicht nur, ob Daten vorhanden sind, sondern auch, welche Angaben notwendig sind, damit die Bearbeitung nachvollziehbar wird und Rechte wirksam ausgeübt werden können.[1]
- mitzuteilen sind die Identität und die Kontaktdaten des Verantwortlichen;
- mitzuteilen sind die bearbeiteten Personendaten als solche;
- mitzuteilen ist der Bearbeitungszweck;
- mitzuteilen ist die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
- mitzuteilen sind die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
- gegebenenfalls mitzuteilen sind das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
- gegebenenfalls mitzuteilen sind die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
Besondere Punkte betreffen die Form und Zuständigkeit der Auskunft. Lässt der Verantwortliche Personendaten durch einen Auftragsbearbeiter bearbeiten, bleibt dennoch der Verantwortliche auskunftspflichtig. Niemand kann im Voraus auf das Auskunftsrecht verzichten. Die Auskunft muss kostenlos erteilt werden; der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist. Für Personendaten über die Gesundheit sieht das Gesetz vor, dass diese der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden können. Zudem wird die Auskunft in der Regel innerhalb von 30 Tagen erteilt.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]