Datenschutz: Wie ist Auskunftsbegehren einzubringen?

Der Beschwerdeführer stellte am 10. Dezember 2018 ein datenschutzrechtliches Auskunftsbegehren per Post an eine Klagenfurter Niederlassung der Beschwerdegegnerin. Das Schreiben wurde am 11. Dezember zugestellt. Die Beschwerdegegnerin hat auf das Schreiben nicht innerhalb einer Frist von einem Monat ab Zustellung reagiert.

Damit wurde das Recht auf Auskunft verletzt, wie die Datenschutzbehörde (DSB) rechtskräftig feststellte. Der Verantwortliche, an den das Begehren geht, hat innerhalb der Regelfrist von einem Monat ab Eingang eine entsprechende Auskunft an den Antragsteller zu erteilen (Art 12 Abs 3 DSGVO) oder diesen über die maßgeblichen Gründe für das Nicht-Tätigwerden zu unterrichten (Art 12 Abs 4 DSGVO).

Eingang in den „Machtbereich“

Was konkret unter „Eingang des Antrags“ zu verstehen ist, lässt der europäische Verordnungsgeber allerdings offen. Nach der allgemeinen zivilrechtlichen Empfangstheorie ist danach zu urteilen, wann eine Erklärung in den Machtbereich des Empfängers gelangt (vgl § 862a ABGB). Im vorliegenden Fall ist das Auskunftsbegehren laut DSB zweifelsfrei in den Machtbereich der Beschwerdegegner – nämlich an ihre Niederlassung in Klagenfurt – gelangt. Es liegen auch keine Anhaltspunkte vor, die auf das Gegenteil schließen lassen würden (etwa ein Auskunftsbegehren, das offenkundig an eine „Noreply“ Adresse verschickt wurde). Die Regelfrist von einem Monat berechnet sich daher ab dem 11. Dezember 2018.

Keine Erschwernisse für Betroffene

Die Beschwerdegegnerin brachte auch vor, dass entsprechend ihren Datenschutzbestimmungen das Recht auf Auskunft bzw. das Auskunftsbegehren schriftlich an den Datenschutzbeauftragten zu richten sei. Demgegenüber sieht Art 12 Abs 2 DSGVO ein Erleichterungsgebot vor: Der Verantwortliche muss geeignete Maßnahmen treffen, damit die Ausübung der Betroffenenrechte erleichtert wird.

Eine betroffene Person kann laut DSB im Rahmen von Datenschutzbestimmungen oder AGB nicht angehalten werden, einen Antrag auf Ausübung von Betroffenenrechte – bei sonstiger Ungültigkeit – an eine bestimmte Adresse oder auf bestimmte Weise übermitteln zu müssen. Die betroffene Person hat einzig dafür Sorge zu tragen, dass der Antrag nachweislich in den Machtbereich des Verantwortlichen gelangt. Der Verantwortliche hat geeignete Maßnahmen zu treffen, dass datenschutzrechtliche Anträge an die entsprechende interne Stelle zur weiteren Bearbeitung weitergeleitet werden.

QUELLE: VKI