Mit einer Sache der DSGVO wird sich hoffentlich nun jedes Unternehmen neben der Erstellung eines Verarbeitungsverzeichnisses auseinander gesetzt haben: Den Auskunftsanspruch eines Betroffenen nach Art. 15 DSGVO, und weitere Anträge des Betroffenen, wie etwa Löschung, Berichtigung oder Einscrhänkung.
Wir haben in der Beratung unserer Mandanten schon einigen Toback erlebt, von agressiven Betroffenen mal ganz abgesehen. Daher wurde uns des Öfteren die Frage gestellt, ob überhaupt reagiert werden müsse, das könne ja nicht normal sein, auf sowas sollte man nicht reagieren müssen.
Doch Art. 15 Abs. 1, 1. Halbsatz DSGVO stellt mit dem Wort „ob“ klar, dass dem/der Betroffenen auch dann geantwortet werden muss, wenn keine personenbezogenen Daten von ihm/ihr verarbeitet werden:
„Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden;…„
Es gibt dennoch eine Ausnahme zu dieser Regel, und die findet sich in Art. 12 Abs. 5 Satz 2 DSGVO. Dort heißt es:
2Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
b) sich weigern, aufgrund des Antrags tätig zu werden.
3Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
Aber was heißt denn hier nun offenkundig unbegründet? Fällt hierunter vielleicht jeder Antrag, bei der sich herausstellt, dass diese Person dem Unternehmen unbekannt ist?
Und wann liegt denn ein exzessiver Antrag vor?
Genau das beantwortet nun der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) in einem neu veröffentlichten Arbeitspapier.
Danach ist ein Antrag zum Beispiel offenkundig unbegründet, wenn der Antrag von einem falschen Antragsteller gestellt und eine Vertretungsberechtigung nicht vorgelegt wird.
Exzessiv ist ein Antrag zum Beispiel, wenn (häufig) wiederholte Auskunftsanträge gestellt werden, obwohl der beim Verantwortlichen vorhandene Datenbestand ersichtlich nicht Gegenstand einer anderen Verarbeitung als einer Speicherung ist und die betroffene Person dies – etwa durch eine zurückliegende Auskunft – auch weiß.
Das Arbeitspapier beschäftigt sich auch mit den weiteren Anträgen, die ein Betroffener geltend macht und die unter Umständen offenkundig unbegründet sind. Ein Blick lohnt sich.
