Wie gebe ich Auskunft?

Diese Seite soll den Auftraggebern (§ 4 Z 4 DSG 2000), die mit einem Antrag auf Auskunftserteilung gemäß § 26 DSG 2000 konfrontiert sind, helfen. Die Seite richtet sich vor allem an Auftraggeber aus der Wirtschaft, die zum ersten Mal Auskunft erteilen.

Was ist das Auskunftsrecht?

Das Auskunftsrecht nach § 26 DSG 2000 dient dazu, dem Betroffenen (also der Person, deren Daten verwendet werden) Information zu verschaffen. Das Auskunftsrecht ist vor allem für Personen wichtig, die meinen, dass unrichtige oder rechtswidrig verarbeitete Daten über sie in Umlauf sind.

Auskunftsersuchen - Was tun?

Das Auskunftsrecht nach § 26 DSG 2000 ist ein wertfreies Informationsrecht wie z.B. die Akteneinsicht. Es bedeutet keinen Vorwurf gegen Sie, Ihre Organisation oder Ihre Mitarbeiter.

Sie benötigen zur Beantwortung eines Auskunftsersuchens in der Regel keinen Rechtsanwalt.

Kann ich die Daten sofort löschen?

Nein! Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen dürfen Sie Daten über den Betroffenen, der das Auskunftsverlangen an Sie richtet, nicht mehr löschen (§ 26 Abs. 7 DSG 2000).

Wer Daten trotzdem vorsätzlich löscht macht sich nach § 52 Abs. 1 Z 4 DSG 2000 strafbar (Verwaltungsübertretung, Geldstrafe bis zu 25 000 Euro).

Es kann vorkommen, dass Betroffene Auskunft und Löschung in einem Schreiben verlangen. Erteilen Sie in so einem Fall Auskunft, aber löschen Sie erst, wenn das Auskunftsverfahren erledigt ist. Die Löschung vor Ablauf der Frist ist zulässig, wenn der Auskunftswerber einen ausdrücklichen Löschungsantrag stellt, aber dies soll nicht zu einem Verlust des Auskunftsrechts wegen einer unklaren Formulierung führen.

Wer hat ein Recht auf Auskunft?

Das Auskunftsrecht steht dem Betroffenen zu, d.h. demjenigen, dessen Daten verwendet werden (§ 4 Z 3 DSG 2000). Jedermann hat das Recht auf Auskunft über die zu seiner Person verarbeiteten Daten. Ein Recht auf Auskunft über die Daten anderer Personen besteht nicht. Dies kann vor allem bei Anfragen von Detekteien und Kreditauskunfteien relevant sein.

Beachten Sie, dass es auch Auskunftsrechte und -pflichten über Daten anderer Personen gibt, die aber nicht Gegenstand dieses Artikels sind.

Was ist der Inhalt der Auskunft?

Der Inhalt der Auskunft ist in § 26 DSG 2000 festgelegt:

  • Die verarbeiteten Daten: Damit sind die echten Daten gemeint, die Sie über den Betroffenen verarbeiten. Es genügt daher nicht mitzuteilen, dass etwa der Name und das Geburtsdatum gespeichert seien, sondern es muss offengelegt werden, wie die tatsächlichen Eintragungen unter "Name" und "Geburtsdatum" lauten.
  • Die verfügbaren Informationen über die Herkunft der Daten, allfällige Empfänger oder Empfängerkreise von Übermittlungen, damit der Betroffene seine Richtigstellungs- und Löschungsrechte sowohl gegenüber der Quelle der Daten als auch gegenüber den Übermittlungsempfängern durchsetzen kann.
  • Den Zweck der Datenverwendung: Teilen Sie mit, wozu Sie die Daten verarbeiten.
  • Die Rechtsgrundlagen der Datenverwendung: Teilen Sie Ihre Rechtsgrundlage mit.
  • Auf Wunsch müssen Sie auch Ihre(n) Dienstleister (§ 4 Z 5 DSG 2000) bekanntgeben.
  • Die Auskunft muss in "allgemein verständlicher Form" gegeben werden. Es ist also nicht zulässig, einen Computerausdruck mit unverständlichen Abkürzungen und Chiffren als Auskunft zu übersenden.

Wieviel Zeit habe ich?

Die Auskunft ist innerhalb von 8 Wochen nach Einlangen des Auskunftsbegehrens zu erteilen, oder es ist schriftlich zu begründen, warum die Auskunft nicht oder nicht vollständig erteilt wird.

Wann kann ich die Auskunft verweigern?

Sie finden die Gründe für eine Verweigerung der Auskunft in § 26 Abs. 2 DSG 2000. Eine unberechtigte Weigerung, Auskunft zu erteilen, ist gemäß § 52 Abs. 2a DSG 2000 verwaltungsrechtlich strafbar.

Kann ich für die Auskunft einen Kostenersatz verlangen?

Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

Was sind die Grenzen des Auskunftsrechts?

Das Auskunftsrecht gemäß § 26 DSG 2000 bezieht sich nur auf automationsunterstützte Verarbeitungen und manuelle Dateien. Ein Auskunftsrecht hinsichtlich von personenbezogenen "Daten" in unstrukturierten Akteninhalten (auch Briefe und andere Schriftstücke) besteht nicht. Es gibt aber das Recht auf Akteneinsicht im öffentlichen Bereich.

In bestimmten Fällen kann die Auskunft verweigert werden (siehe oben).

Für Datenbanken, die von Gesetzes wegen einsehbar sind, wird statt des Rechts auf Auskunft das normale Recht auf Einsicht angewendet (§ 26 Abs. 8 DSG 2000).

Was kann passieren, wenn ich keine Auskunft gebe oder die Frist überschreite?

Der Betroffene kann sich bei der Datenschutzbehörde beschweren, wenn innerhalb der Frist von 8 Wochen keine oder eine unzureichende Auskunft erteilt wird. Die Datenschutzbehörde fordert die Auftraggeber üblicherweise auf, dem Auskunftsbegehren umgehend zu entsprechen.

Erteilen Sie daher bitte die Auskunft auch dann, wenn die Frist bereits abgelaufen ist.

Sonderfälle

Auskunft oder nicht Auskunft?

Beachten Sie, dass nicht jedes Ersuchen um "Auskunft" eine Auskunft gemäß § 26 DSG 2000 betrifft. Es gibt viele Auskunftsrechte außerhalb des Datenschutzrechts. Wenn ein Kunde eine "Auskunft" verlangt, wo seine bestellte Ware bleibt, will er keine datenschutzrechtliche Auskunft.

Wenn wirklich nicht klar ist, welche Art von Auskunft ein Betroffener begehrt, fragen Sie am besten nach, um Fehler zu vermeiden.

Auskunftsersuchen an die falsche Stelle

Es kann vorkommen, dass ein Auskunftsersuchen irrtümlich an die falsche Stelle gerichtet wird. Wenn Sie erkennen, dass Sie gar nicht gemeint sein können, sollten Sie trotzdem reagieren und den Einbringer auf den Fehler aufmerksam machen. Wenn die Frist zur Auskunftserteilung abläuft, kann der Betroffene sonst Beschwerde an die Datenschutzbehörde erheben.

Für Behörden gilt auch § 6 AVG.