Verantwortliche, also Stellen, die personenbezogene Daten verarbeiten, sind verpflichtet, die von der Verarbeitung betroffenen Personen darüber zu informieren. Dabei unterscheidet die Datenschutz-Grundverordnung, ob die die Daten direkt beim Betroffenen (Art. 13 DS-GVO) oder bei Dritten erhoben worden sind (Art. 14 DS-GVO). Auch das zurzeit geltende Landes- und Bundesdatenschutzgesetz kennt diese Informationspflicht. Wurden die Daten bei Dritten erhoben, ist auch bisher die betroffene Person hierüber zu benachrichtigen. Neu und wichtig ist die Benachrichtigungspflicht im Fall der Zweckänderung, wenn also die Daten zu einem anderen Zweck verarbeitet werden sollen als zu dem Zweck, zu dem der Verantwortliche sie erlangt hat.

Grundsätzlich ist auch in Zukunft über die verantwortliche Stelle, über die Zweckbestimmung, die Empfänger der Daten und die Rechtsgrundlage der Verarbeitung zu informieren. Werden die Daten direkt beim Betroffenen erfragt, ist dieser auf eine ggf. bestehende Verpflichtung zur Angabe hinzuweisen. Zudem sind zukünftig die Kontaktdaten des internen Datenschutzbeauftragten anzugeben. Um eine faire und transparente Verarbeitung zu gewährleisten, werden zusätzlich Angaben zur Speicherdauer, ein Hinweis auf Betroffenenrechte, die Widerrufbarkeit der Einwilligung sowie das Bestehen einer automatisierten Einzelfallentscheidung einschließlich Profiling gefordert. Von diesen Informationen kann nur unter engen Voraussetzungen abgesehen werden, z.B. wenn die betroffene Person bereits über die Angaben verfügt.

Um Auskunft von einem Verantwortlichen zu erhalten, kann die betroffene Person nach Art. 15 DS-GVO zunächst eine Bestätigung darüber verlangen, ob überhaupt sie betreffende personenbezogene Daten vorhanden sind. Wenn dies der Fall ist, erstreckt sich dann ihr konkretes Auskunftsrecht auf die gespeicherten Daten bzw. Datenkategorien, die Herkunft und die Empfänger der Daten sowie den Verarbeitungszweck. Dies entspricht der bisherigen Rechtslage. Zukünftig muss die Auskunft aber auch über die geplante Speicherdauer (zumindest die Kriterien für deren Festlegung), die Betroffenenrechte, das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und letztlich bei einer Datenübermittlung an ein Drittland über die geeigneten Garantien unterrichten. 

Neu ist auch, dass die Auskunft grundsätzlich innerhalb einer bestimmten Frist, nämlich innerhalb eines Monats nach Eingang des Antrags, zu erteilen ist. Sie bleibt grundsätzlich kostenlos. Neu ist zudem das Recht auf Datenübertragbarkeit nach Art. 20 DS-GVO, um etwa bei einem Wechsel des Telekommunikationsanbieters die Daten komplikationslos und vollständig mitnehmen zu können. Das Recht auf Löschung wird durch Art. 17 DS-GVO ausdrücklich auf die Löschung von Links etwa in Suchmaschinen, die zu der Person führen, erstreckt („Recht auf Vergessenwerden“).

Umfang des Auskunftsanspruchs im Bereich der Heilbehandlung

Informationen und Auskünfte können in jeder Form gegeben werden: schriftlich oder in anderer Form, ggf. auch elektronisch. Bei der Auskunft muss aber stets die Identität des Anfragenden nachgewiesen werden. Bei Zweifeln daran ist die Auskunft nicht zu erteilen.

Alles soll in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache erfolgen.

Informationspflichten und Auskunftsrechte können nach Art. 23 DS-GVO unter engen Voraussetzungen u.a. durch den nationalen Gesetzgeber eingeschränkt werden, z.B. dann, wenn durch die Information oder Auskunft die nationale Sicherheit gefährdet ist oder die Rechte Dritter unverhältnismäßig eingeschränkt werden.

Bei Verstößen gegen die Bestimmungen der Artikel zu den Betroffenenrechten können die Aufsichtsbehörden nach Art. 87 Abs. 5 DS-GVO Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen von bis zu vier Prozent des Jahresumsatzes verhängen.

Die Auskunfts- und Informationsrechte sind detailliert durch die DS-GVO ausgestaltet worden. Durch die technikoffenen Regelungen werden auch moderne Fallgestaltungen, wie Profiling in den Regelungen abgebildet. Dieses umfangreiche Regime sollte durch den nationalen Gesetzgeber nicht zu Lasten der betroffenen Personen beschränkt werden. Der durch die Öffnungsklausel eröffnete Spielraum ist zurückhaltend zu handhaben. Als Form des Individualrechtsschutzes sind die Rechte der Betroffenen das Kernelement des Rechts auf informationelle Selbstbestimmung und sollten so in Deutschland erhalten bleiben.