Datenschutz Art. 25 - Auskunftsrecht

ART. 25 DSG – ICH HABE EIN RECHT. BEKOMME ICH ES AUCH?

Art. 25 DSG gibt mir ein Auskunftsrecht über meine Personendaten.

Auf dem Papier ist die Sache einfach.

Ich soll erfahren können, welche Daten über mich bearbeitet werden. Ich soll kontrollieren können, was mit meinen Daten geschieht. Und ich soll aufgrund dieser Informationen beurteilen können, ob ich weitere Rechte oder Schritte geltend machen muss.

Die Auskunft nach Art. 25 DSG ist also kein Selbstzweck. Sie schafft eine Tatsachengrundlage.

Genau hier beginnt mein Problem.

ICH WOLLTE KEINE SYSTEMARCHITEKTUR

Während mehrerer Wochen konnte ich meinen Zugang zum Onlineportal meiner obligatorischen Krankenversicherung nicht mehr selbständig herstellen.

E-Mail-Adresse und Passwort wurden verändert. Mehrfach.

Ich wollte deshalb wissen, was mit meinem Kundenkonto geschehen war.

Nicht mehr und nicht weniger.

Zum Beispiel:

Wann wurde meine E-Mail-Adresse geändert?

Wann wurde mein Passwort zurückgesetzt?

Welche Ereignisse wurden zu meinem Kundenkonto protokolliert?

Durch welchen Prozess oder welche Stelle wurde eine Änderung ausgelöst?

Ich wollte keine technische Systemarchitektur.

Ich wollte keine Sicherheitskonzepte.

Ich wollte keine Daten fremder Personen.

Ich wollte die personenbezogenen technischen Daten zu meinem Kundenkonto und meinem Portalzugang. Genau dafür, dachte ich, gibt es Art. 25 DSG.

UND DANN BEGINNT DIE ZWEITE WELT

Ich fragte nach. Ich präzisierte.

Ich erklärte wieder und wieder, was ich wollte. Ich schrieb eingeschriebene Briefe.

Aus einem grundsätzlich kostenlosen Auskunftsrecht wurde nach und nach ein Projekt.

Zeit.

Korrespondenz.

Recherche.

Rechtsbegriffe.

Nachfragen.

Und vor allem blieb die Frage offen, was während des betreffenden Zeitraums tatsächlich geschehen war. Denn die dafür erforderliche Tatsachengrundlage hatte ich nicht. Sie lag bei der Stelle, die über die technischen Daten verfügte.

ART. 49 DSG – „GENÜGEND ANZEICHEN“

Also wandte ich mich an den EDÖB.

Art. 49 DSG sieht vor, dass der EDÖB eine Untersuchung eröffnet, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen Datenschutzvorschriften verstossen könnte. Und er kann von einer Untersuchung absehen, wenn eine mögliche Verletzung nur von geringfügiger Bedeutung ist.

Zwei kleine Formulierungen. Zwei grosse Blackboxes.

Was ist genügend?

Und:

Was ist geringfügig?

In meinem Fall kam der EDÖB zum Schluss, dass die gesetzlichen Voraussetzungen für die Eröffnung einer Untersuchung nicht erfüllt seien.

Eine konkrete Begründung erhielt ich nicht. Aufgrund der Vielzahl der eingehenden Anzeigen könne man mir keine ausführliche Begründung zu meinem konkreten Fall geben.

Damit wusste ich weiterhin nicht:

Welche Anzeichen fehlten?

Warum genügten die vorhandenen nicht?

War der Vorgang geringfügig?

Nach welchem Massstab?

Welche zusätzliche Information wäre erforderlich gewesen?

Und vor allem:

Woher sollte ich diese zusätzliche Substanz nehmen? Denn genau deshalb war ich beim EDÖB. Die Informationen lagen bei der verantwortlichen Stelle.

DER ZIRKELSCHLUSS

Ich stellte deshalb irgendwann nicht mehr die Frage, ob ich ein Auskunftsrecht habe.

Ich stellte eine andere:

Wie soll eine betroffene Person ihr Auskunftsrecht nach Art. 25 DSG praktisch und substanziert geltend machen, wenn die zur Substanzierung notwendigen Log-, Zugriffs-, Authentifizierungs- und Ereignisdaten ausschliesslich bei der verantwortlichen Stelle liegen und diese Stelle nur ausschnittweise, unverständlich oder nicht nachvollziehbar begründet Auskunft erteilt?

Das ist für mich der Kern.

Der EDÖB erklärte mir den formalen Rechtsweg.

Wenn ein Bundesorgan die Auskunft verweigert oder einschränkt, erfolgt der Entscheid mittels Verfügung. Gegen diesen Entscheid kann Beschwerde beim Bundesverwaltungsgericht erhoben werden. Formal ist damit alles vorhanden.

Ein Auskunftsrecht.

Eine Aufsicht.

Eine Verfügung.

Ein Gericht.

Nur beantwortet das meine Strukturfrage nicht.

Denn ich wollte ja nicht vor Gericht. Ich wollte wissen, was passiert war, sodass

ch danach überhaupt beurteilen kann, ob ein weiterer rechtlicher Schritt notwendig und sachgerecht ist.

Und genau hier dreht sich das Ganze im Kreis:

Ich brauche die Daten, um den Sachverhalt beurteilen zu können.

Ich bekomme die Daten nicht vollständig.

Die Aufsicht eröffnet keine Untersuchung, weil die Voraussetzungen dafür nicht erfüllt seien.

Also bleibt mir der gerichtliche Weg.

Aber um einen solchen Weg sinnvoll beurteilen und aufbauen zu können, brauche ich wiederum eine Tatsachengrundlage.

Diejenige Tatsachengrundlage, die ich mit Art. 25 überhaupt erst erhalten wollte.

„KOSTENLOS“ – WIRKLICH?

Und dann gibt es noch dieses schöne Wort:

kostenlos.

Das Auskunftsrecht nach Art. 25 DSG ist grundsätzlich kostenlos.

Klingt eindeutig.

Also öffnen wir die Blackbox.

Was genau ist kostenlos?

Das Auskunftsbegehren stellen?

Ja.

Die erste Auskunft?

Grundsätzlich ebenfalls.

Aber was geschieht, wenn die Auskunft nicht vollständig erteilt wird?

Bei einem privaten Verantwortlichen hat der Gesetzgeber auch die gerichtliche Durchsetzung erleichtert. Das Verfahren ist vereinfacht, für solche datenschutzrechtlichen Streitigkeiten werden grundsätzlich keine Gerichtskosten erhoben. Einen Anwalt muss man nicht zwingend nehmen.

Bei einem Bundesorgan sieht die Welt anders aus.

Dann führt der Weg über eine Verfügung und anschliessend über das Verwaltungsverfahren. Dort kann ein Kostenvorschuss verlangt werden.

Dazu kommen:

meine Zeit,

meine Recherche,

meine Korrespondenz,

meine Fristen,

meine Verfahrenskenntnisse,

möglicherweise anwaltliche Unterstützung

und das Risiko, mit meinem Rechtsmittel nicht durchzudringen.

Plötzlich bedeutet „Das Auskunftsrecht ist kostenlos“ nicht dasselbe wie

„Ich kann mein Auskunftsrecht kostenlos bis zur tatsächlichen Herausgabe meiner Daten durchsetzen.“

Das ist eine beträchtliche Differenz.

Kostenlos ist das Recht am Eingang.

Kostenlos ist nicht zwingend seine vollständige Durchsetzung.

Wenn ich monatelang schreibe, nachfrage, eingeschriebene Briefe verschicke, Rechtsgrundlagen zusammensuche und anschliessend möglicherweise noch Geld vorschiessen muss, damit überhaupt gerichtlich geklärt wird, ob ich die verlangten Informationen erhalten muss, dann möchte ich wissen:

Was genau meint ihr mit „kostenlos“?

Das ist für mich eine Blackbox.

ART. 60 DSG – SANKTIONEN GIBT ES DURCHAUS

Interessant wird es auch, wenn man Art. 60 DSG danebenlegt.

Das Datenschutzgesetz kennt empfindliche Strafbestimmungen. Bestimmte vorsätzliche Verletzungen von Informations-, Auskunfts- und Mitwirkungspflichten können mit hohen Bussen bestraft werden.

Der Gesetzgeber hält falsche oder unvollständige Auskünfte also keineswegs grundsätzlich für belanglos.

Nur ist die Sanktions- und Durchsetzungsarchitektur nicht für alle Verantwortlichen gleich.

Private und Bundesorgane stehen auf unterschiedlichen Verfahrensspuren.

Und damit entsteht die nächste Frage:

Warum wird dasselbe Auskunftsrecht unterschiedlich abgesichert, je nachdem, wer mir gegenübersteht?

Das interessiert mich inzwischen fast genauso sehr wie mein eigener Fall.

WANN IST EIN RECHT EIN WIRKSAMES RECHT?

Wenn es im Gesetz steht?

Wenn ich weiss, dass es existiert?

Wenn mir jemand sagt, ich könne es gerichtlich durchsetzen?

Oder erst dann, wenn ich es tatsächlich nutzen kann?

Das Bundesgericht beschreibt das Auskunftsrecht nicht als Dekoration.

Ohne Kenntnis der gespeicherten Daten können weitere datenschutzrechtliche Ansprüche gar nicht sinnvoll ausgeübt werden.

Die Auskunft soll also gerade ermöglichen, zu kontrollieren, was mit den eigenen Daten geschieht, und darauf aufbauend weitere Rechte oder Schritte zu prüfen.

Dann muss die Frage erlaubt sein:

Wie soll ich kontrollieren, wenn mir die Tatsachengrundlage für diese Kontrolle fehlt?

Und noch eine:

Wie viel Zeit, Geld und Energie muss ein Mensch investieren, bevor aus einem gesetzlichen Recht ein tatsächlich nutzbares Recht wird?

Nach mehr als einem Jahr Beschäftigung mit einem Auskunftsrecht, das eigentlich Klarheit schaffen sollte, lautet meine Blackbox deshalb nicht mehr nur:

Art. 25 DSG.

Sie lautet:

RECHT HABEN – ODER RECHT ERHALTEN?

Dazwischen liegt offenbar eine ganze Welt.