Die Informationspflicht der Verantwortlichen

Verantwortliche, also Stellen, die personenbezogene Daten verarbeiten, sind verpflichtet, die von der Verarbeitung betroffenen Personen über die Verarbeitung zu informieren. Dabei unterscheidet die Datenschutz-Grundverordnung, ob die die Daten direkt bei dem oder der Betroffenen (Art. 13 DS-GVO) oder bei Dritten erhoben worden sind (Art. 14 DS-GVO). Wurden die Daten bei Dritten erhoben, ist die betroffene Person hierüber zu benachrichtigen. Wichtig ist auch die Benachrichtigungspflicht im Fall der Zweckänderung, wenn also die Daten zu einem anderen Zweck verarbeitet werden sollen als zu dem Zweck, zu dem der Verantwortliche sie erlangt hat.

Grundsätzlich ist über die verantwortliche Stelle, über die Zweckbestimmung, die Empfänger der Daten und die Rechtsgrundlage der Verarbeitung zu informieren. Werden die Daten direkt bei den Betroffenen erfragt, sind diese auf eine ggf. bestehende Verpflichtung zur Angabe hinzuweisen. Zudem sind die Kontaktdaten des internen Datenschutzbeauftragten anzugeben. Um eine faire und transparente Verarbeitung zu gewährleisten, werden zusätzlich Angaben zur Speicherdauer, ein Hinweis auf Betroffenenrechte, die Widerrufbarkeit der Einwilligung sowie das Bestehen einer automatisierten Einzelfallentscheidung einschließlich Profiling gefordert. Von diesen Informationen kann nur unter engen Voraussetzungen abgesehen werden, z.B. wenn die betroffene Person bereits über die Angaben verfügt.
 

Das Auskunftsrecht der betroffenen Personen

Um Auskunft von einem oder einer Verantwortlichen zu erhalten, kann die betroffene Person nach Art. 15 DS-GVO zunächst eine Bestätigung darüber verlangen, ob überhaupt sie betreffende personenbezogene Daten vorhanden sind. Ist dies der Fall, erstreckt sich ihr konkretes Auskunftsrecht auf die gespeicherten Daten bzw. Datenkategorien, die Herkunft und die Empfänger der Daten sowie den Verarbeitungszweck. Die Auskunft muss auch über die geplante Speicherdauer (zumindest die Kriterien für deren Festlegung), die Betroffenenrechte, das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und letztlich bei einer Datenübermittlung an ein Drittland über die geeigneten Garantien unterrichten. Falls bei dem oder der Verantwortlichen keine personenbezogenen Daten der betroffenen Person verarbeitet werden, ist auch hierüber Auskunft zu erteilen (sogenannte Negativ-Auskunft).

Die Auskunft ist grundsätzlich innerhalb eines Monats nach Eingang des Antrags zu erteilen. Sie ist kostenlos zu gewährleisten und ist als Kopie der verarbeiteten Daten zu gewährleisten. Informationen und Auskünfte haben schriftlich oder in anderer Form zu erfolgen, gegebenenfalls auch elektronisch. Sie müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache erfolgen. Bei der Auskunft muss stets die Identität des oder der Anfragenden nachgewiesen werden.
 

Umfang des Auskunftsanspruchs im Bereich der Heilbehandlung

Der Umfang des datenschutzrechtlichen Auskunftsanspruchs erstreckt sich im Bereich der Heilbehandlung regelmäßig auf die Bereitstellung einer Kopie der Behandlungsdokumentation, wenn dies dem Auskunftsbegehren der Patientin oder des Patienten entspricht. Dabei dürfen für die erste Ausfertigung keine Kosten verlangt werden. Nähere Informationen hierzu finden sich unter Auskunftsanspruch in der Heilbehandlung.