Teil 2: Durchführungsbestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679

Kapitel 3: Rechte der betroffenen Personen

§ 24 Auskunftsrecht der betroffenen Person

(1)  ¹Unbeschadet von § 17 Absatz 4 besteht das Recht der betroffenen Person auf Auskunft gemäß Artikel 15 der Verordnung (EU) 2016/679 nicht, sofern die Erteilung der Auskunft hinter dem öffentlichen Interesse an der Geheimhaltung oder einem überwiegenden Geheimhaltungsinteresse Dritter aus zwingenden Gründen zurücktreten muss. ²Ein Fall des Satzes 1 liegt insbesondere vor, wenn die Erteilung der Auskunft

1. die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes erhebliche Nachteile bereiten würde,

2. die Verfolgung von Straftaten und Ordnungswidrigkeiten gefährden würde oder

3. dazu führen würde, dass Tatsachen, die nach einer öffentlichen Interessen dienenden Rechtsvorschrift oder zum Schutz der Rechte und Freiheiten anderer Personen geheim zu halten sind, aufgedeckt werden.

³Die betroffene Person kann keine Auskunft über personenbezogene Daten verlangen, die ausschließlich zu Zwecken der Datensicherung oder der Datenschutzkontrolle gespeichert sind und deren Verarbeitung durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.

(2)  ¹Bezieht sich das Auskunftsersuchen auf personenbezogene Daten, die von Stellen des Verfassungsschutzes, der Gerichte, der Staatsanwaltschaft und der Polizei oder von Landesfinanzbehörden, soweit diese personenbezogene Daten für Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zu Zwecken der Strafverfolgung speichern, sowie vom Bundesnachrichtendienst, des Amtes für den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, von anderen Behörden im Geschäftsbereich des für Verteidigung zuständigen Bundesministeriums übermittelt wurden, ist eine Auskunft nur mit Zustimmung dieser Stellen zulässig. ²Gleiches gilt für die Erteilung einer Auskunft, die sich auf die Übermittlung personenbezogener Daten an diese Stellen bezieht. ³Hierfür dürfen personenbezogene Daten der betroffenen Person im erforderlichen Umfang verarbeitet werden. ⁴Die Zustimmung nach Satz 1 und 2 darf nur versagt werden, wenn dies zum Schutz der in Artikel 23 Absatz 1 Buchstabe a bis e der Verordnung (EU) 2016/679 genannten Rechtsgüter notwendig ist.

(3)  ¹Die vollständige oder teilweise Ablehnung eines Antrags auf Auskunft bedarf keiner Begründung, soweit durch die Begründung der Zweck der Ablehnung gefährdet würde. ²Sowohl die Entscheidung über die Ablehnung des Antrags auf Auskunft als auch die Entscheidung über das Absehen von der Begründung obliegt der Leiterin oder dem Leiter des für die Datenverarbeitung Verantwortlichen. ³Die Entscheidung kann an eine der Leitung unmittelbar nachgeordnete Person übertragen werden. ⁴Die Gründe der Ablehnung sind zu dokumentieren. ⁵Soweit der Antrag auf Auskunft abgelehnt wird, hat der Verantwortliche die betroffene Person darauf hinzuweisen, dass sie ihr Auskunftsrecht auch über die Berliner Beauftragte oder den Berliner Beauftragten für Datenschutz und Informationsfreiheit ausüben kann. ⁶Macht die betroffene Person von ihrem Recht nach Satz 5 Gebrauch, ist auf ihr Verlangen der oder dem Berliner Beauftragten für Datenschutz und Informationsfreiheit die Auskunft zu erteilen, soweit nicht die jeweils zuständige oberste Landesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. ⁷Die oder der Berliner Beauftragte für Datenschutz und Informationsfreiheit hat die betroffene Person zumindest darüber zu unterrichten, dass alle erforderlichen Prüfungen erfolgt sind oder eine Überprüfung durch sie oder ihn stattgefunden hat. ⁸Diese Mitteilung kann die Information enthalten, ob datenschutzrechtliche Verstöße festgestellt wurden. ⁹Die Mitteilung der oder des Berliner Beauftragten für Datenschutz und Informationsfreiheit an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser nicht einer weitergehenden Ausnahme zugestimmt hat.

(4) Unterbleibt die Auskunft in den Fällen des Absatzes 1 wegen eines vorübergehenden Hinderungsgrundes, kommt der Verantwortliche der Auskunftspflicht unter Berücksichtigung der spezifischen Umstände der Verarbeitung innerhalb einer angemessenen Frist ab Fortfall des Hinderungsgrundes nach, spätestens jedoch nach Ablauf von zwei Wochen.

(5) Das Recht der betroffenen Person auf Auskunft über personenbezogene Daten, die durch eine öffentliche Stelle nicht automatisiert verarbeitet werden, besteht nur, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht.

(6) ¹Sind personenbezogene Daten in Akten gespeichert, so kann die betroffene Person bei der datenverarbeitenden Stelle zusätzlich zu der Auskunft nach Artikel 15 der Verordnung (EU) 2016/679 Einsicht in die Akten verlangen. ²Werden die Akten nicht zur betroffenen Person geführt, so können Hinweise zum Auffinden der zur betroffenen Person gespeicherten personenbezogenen Daten gefordert werden, wenn das Auffinden auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand möglich wäre. ³Die Einsichtnahme ist grundsätzlich unzulässig, wenn die Daten der betroffenen Person mit Daten Dritter oder geheimhaltungsbedürftigen nicht personenbezogenen Daten derart verbunden sind, dass ihre Trennung nach verschiedenen Zwecken auch durch Vervielfältigen und Unkenntlichmachung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist. ⁴Im Übrigen gelten für die Verweigerung der Einsicht in die Akten die Absätze 1 bis 3 entsprechend.

(7) Der Senat legt dem Abgeordnetenhaus bis zum 30. Juni 2020 einen Bericht über die Anwendung der Absätze 1 bis 5 vor.

(8) Der Rechnungshof ist zur Erteilung von Auskünften nach Artikel 15 der Verordnung (EU) 2016/679 nicht verpflichtet, soweit er im Rahmen seiner unabhängigen Tätigkeit personenbezogene Daten verarbeitet.