Neuigkeit –
27.11.2023
Das Recht auf Auskunft nach der Datenschutzgrundverordnung (DSGVO) ist aus der Sicht von Betroffenen wesentlich, um die eigenen Rechte wahrzunehmen. Das Auskunftsrecht ermöglicht die Überprüfung der Rechtsmäßigkeit von Datenverarbeitungen, aber auch die Ausübung weiterer Betroffenenrechte, wie etwa der Berichtigung falscher Daten oder deren Löschung. Auskunftsansprüche sind dabei für Unternehmen, die mit einem solchen konfrontiert werden, immer mit einem Mehraufwand verbunden.
Stellt ein Betroffener, z.B. ein Kunde oder ehemaliger Arbeitnehmer einen datenschutzrechtlichen Auskunftsanspruch, ist unverzüglich, spätestens jedoch innerhalb eines Monats diese Auskunftsanfragen zu beantworten. In Ausnahmefällen kann diese Frist auf 2 Monate verlängert werden, setzt aber voraus, dass die Verzögerung begründet werden kann. Erfolgt eine Auskunft nicht fristgerecht, kann sich die betroffene Person unmittelbar bei der zuständigen Aufsichtsbehörde melden und es liegt ein Verstoß gegen die DSGVO vor, der bußgeldbewehrt sein kann.
Wichtig ist, dass das Auskunftsrecht bereits das Recht umfasst zu erfahren, ob überhaupt personenbezogene Daten verarbeitet werden. Dies führt dazu, dass betroffene Unternehmen auch negative Auskünfte innerhalb der gesetzlichen Frist abgegeben müssen, auch wenn sie keine personenbezogenen Daten von der anfragenden Person bis dato verarbeitet haben.
Immer wieder stellt sich in der Praxis die Frage, wie weit der datenschutzrechtliche Anspruch geht. Welche Daten müssen wie herausgegeben werden? Auch stellt sich die Frage, welchen Aufwand ein Unternehmen ohne Kompensation etwaiger Kosten betreiben muss. Wie sieht es z.B. im Verhältnis Arzt und Patient aus? Haben Patienten z.B. das Recht auf eine kostenfreie Kopie ihrer Patientenakte oder stehen Ärzte hierfür Kostenerstattungsansprüche zu?
Ein solcher Streit lag dem Europäischen Gerichtshof (EuGH) dem Verfahren C-307/22 vor. Ein Patient, der zahnärztlich behandelt wurde, vermutete einen Behandlungsfehler. Um einen möglichen Schadensersatzanspruch zu prüfen, forderte er auf der Grundlage seines datenschutzrechtlichen Auskunftsrechts die kostenfreie Kopie seiner Patientenakte. Der behandelnde Arzt bestand jedoch vor einer Herausgabe auf die Erstattung seiner damit verbundenen Kosten.
In dem Verfahren, das durch den Bundesgerichtshof (BGH) vorgelegt wurde, stellte sich auch die Frage, ob eine kostenfreie Kopie der Patientenakte aus datenschutzrechtlichen Gründen versagt werden kann, wenn die Auskunft allein aus dem Grund verlangt wird, um den Arzt haftbar zu machen und keine datenschutzrechtlichen Belange im Vordergrund stehen, etwa um die Rechtmäßigkeit der Datenverarbeitung zu überprüfen.
Weiterhin hatte der EuGH zu klären, ob eine nationale Vorschrift, die dem Arzt einen Kostenerstattungsanspruch gegenüber dem Patienten für die Bereitstellung einer Kopie der Patientenakten einräumt, hier § 630 f Bürgerliches Gesetzbuch (BGB), die Betroffenenrechte nach DSGVO unzulässig einschränkt.
Daneben hatte der EuGH die Frage zu beantworten, ob der datenschutzrechtliche Auskunftsanspruch sich auf alle Teile der Patientenakte bezieht oder nur auf die darin enthaltenen personenbezogenen Daten, sodass der Arzt entscheiden könnte, wie er die Daten, die den Patienten betreffen, zusammenstellt.
Der EuGH vertritt die Auffassung, dass der für die Verarbeitung Verantwortliche (hier der Arzt) verpflichtet ist, der betroffenen Person kostenlos eine erste Kopie der sie betreffenden personenbezogenen Daten zur Verfügung zu stellen. Umfasst sind auch die eigenen gesundheitsbezogenen Daten in Patientenakten, die z.B. Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten können. Insbesondere hat der EuGH klargestellt, ist eine betroffene Person, die ein Auskunftsersuchen stellt, nicht verpflichtet, die Gründe für ihr Auskunftsersuchen anzugeben, und der für die Verarbeitung Verantwortliche ist, nicht berechtigt, diese Gründe zu erfragen oder zu bewerten.
Eine Kompensation für eine Auskunft kann nur verlangen werden, wenn die betroffene Person bereits eine erste kostenlose Kopie ihrer Daten erhalten hat und diese erneut anfordert bzw. wenn der Auskunftsanspruch übertrieben oder offensichtlich unbegründet ist.
Im Ergebnis haben Patienten das Recht, eine vollständige Kopie der in ihrer Krankenakte enthaltenen Dokumente zu erhalten, wenn dies für das Verständnis der in diesen Dokumenten enthaltenen personenbezogenen Daten unerlässlich ist. Dies umfasst Informationen wie Diagnosen, Untersuchungsergebnisse, Stellungnahmen der behandelnden Ärzte und alle ihn betreffenden Behandlungen oder Eingriffe.
Das Urteil zeigt, dass Unternehmen sich mit dem Auskunftsanspruch Betroffener auseinandersetzen müssen. Mitarbeiter:innen sollten entsprechend geschult im Umgang mit solchen Anfragen sein und über Mustervorlagen verfügen und auf entsprechende Prozesse zurückgreifen können, mit denen Anfragen Betroffener bearbeitet werden können.
Weitere Informationen zum Auskunftsrecht:
www.rmprivacy.de/zur-reichweite-des-auskunftsrechts
www.rmprivacy.de/umgang-mit-personalausweisen-bei-auskunft-nach-art-15-dsgvo
