Am 16. Januar 2025 hat der Europäische Datenschutzausschuss (EDSA) über die Ergebnisse der 2024 durchgeführten europaweiten Prüfaktion im Rahmen des Coordinated Enforcement Framework (CEF) beraten und seinen Bericht verabschiedet. Bei der Aktion wurde untersucht, wie Verantwortliche das Auskunftsrecht betroffener Personen umsetzen.
In Deutschland beteiligten sich die Landesdatenschutzaufsichtsbehörden aus Bayern (BayLDA), Brandenburg, Mecklenburg-Vorpommern, Niedersachsen, Rheinland-Pfalz, Saarland und Schleswig-Holstein sowie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und prüften insgesamt 116 Verantwortliche. Auf europäischer Ebene nahmen weitere 22 mitgliedstaatliche Datenschutzaufsichtsbehörden teil. Insgesamt werteten die beteiligten Aufsichtsbehörden Angaben von 1.185 Verantwortlichen aus.
So konnten europäische Datenschutzaufsichtsbehörden Erkenntnisse aus der Praxis dazu gewinnen, inwiefern die EDSA-Leitlinien zum Auskunftsrecht sich auf den praktischen Umgang mit Auskunftsanträgen auswirken. „Der Abschlussbericht des EDSA zeichnet ein grundsätzlich ermutigendes Bild. Die Mehrheit der teilnehmenden Aufsichtsbehörden stellte fest, dass die befragten Verantwortlichen nach eigenen Angaben in einem durchschnittlichen bis hohen Maß die Anforderungen des Auskunftsrechts berücksichtigen“, sagt Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit und diesjährige Vorsitzende der Datenschutzkonferenz. Überraschend groß ist jedoch die Zahl an Verantwortlichen, die angaben, im Jahr 2023 keinen oder nur sehr wenige Auskunftsanträge erhalten zu haben.
Bei der Vollständigkeit der Auskunft und der Anwendung der Grenzen des Auskunftsrechts gibt es allerdings konkreten Nachbesserungsbedarf. Außerdem stellten einige Verantwortliche zum Teil unzulässige Hürden für die Geltendmachung des Auskunftsrechts auf, etwa indem pauschal Zusatzinformationen oder im Einzelfall nicht erforderliche Identifikationsdokumente bei der betroffenen Person angefordert wurden.
Die im Bericht des EDSA dargestellten Ergebnisse decken sich weitestgehend mit denen der beteiligten deutschen Aufsichtsbehörden. Deren gemeinsame Auswertung kann im Annex zum EDSA-Bericht eingesehen werden.
Unter Berücksichtigung dieser Ergebnisse ist es Aufsichtsbehörden möglich, Verantwortliche zielgerichteter zu sensibilisieren und Handlungsempfehlungen zu geben. Die gewonnenen Informationen stehen mit der Veröffentlichung des EDSA-Berichts auch für weiterführende Auswertungen zur Verfügung.
Die koordinierte Aktion zum Auskunftsrecht ist die dritte Initiative im Rahmen des CEF, das darauf abzielt, die Durchsetzung der Datenschutz-Grundverordnung und die Zusammenarbeit zwischen Datenschutzbehörden innerhalb der EU zu optimieren. Frühere koordinierte Aktionen befassten sich im Jahr 2022 mit der Nutzung von Cloud-Diensten durch den öffentlichen Sektor und im Jahr 2023 mit der Benennung und der Rolle von Datenschutzbeauftragten.
Über die Datenschutzkonferenz:
Die Datenschutzkonferenz besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. Sie hat die Aufgabe, die Datenschutzgrundrechte zu wahren und zu schützen, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und gemeinsam für seine Fortentwicklung einzutreten. Dies geschieht namentlich durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen, Stellungnahmen, Pressemitteilungen und Festlegungen.