Daten zurückerobern: Jeder hat ein Auskunftsrecht
Hannover (dpa/tmn) - Die Online-Bestellungen der letzten Jahre oder das E-Mail-Postfach: Vor allem Internet-Firmen speichern Unmengen Nutzerdaten. Aber sie müssen auch Auskunft darüber geben, was sie über ihre Nutzer wissen.
Zumindest gegenüber deutschen Anbietern lässt sich das Recht gut durchsetzen.
Die Auskunft über gespeicherte Daten ist in Paragraf 34 des Bundesdatenschutzgesetzes (BDSG) geregelt, erläutert Birgit Perschke, Sprecherin des Bundesdatenschutzbeauftragten. „Danach muss der Anbieter dem Betroffenen grundsätzlich auf Verlangen Auskunft über die zu seiner Person gespeicherten Daten, die Herkunft dieser Daten, den Empfänger oder die Kategorien von Empfängern, an die Daten weitergegeben werden, und den Zweck der Speicherung erteilen.“ Und das hat mindestens einmal im Jahr kostenlos zu geschehen.
Und die Auskunftsrechte gehen sogar noch darüber hinaus, erklärt Florian Glatzner, Datenschutz-Referent beim Verbraucherzentrale Bundesverband. Jedes Unternehmen müsse ein öffentliches Verzeichnis führen, in dem alle Verfahren nach dem Datenschutzgesetz aufgelistet sind. In dieser sogenannten Verfahrensliste geht es etwa um die Regelfristen zur Datenlöschung, um die Zweckbestimmung der Datenerhebung oder die geplante Übermittlung an Drittstaaten.
„Die Unternehmen müssen diese Verfahrensliste jedermann zur Verfügung stellen“, erläutert Glatzner. Sinnvoll sei das Einholen einer solchen Auskunft im Vorfeld: „Das kann ich machen, bevor ich Kunde werde, wenn ich wissen möchte, wie dort mit meinen Daten umgegangen wird.“
Die Auskunft muss nicht zwangsläufig per Brief beantragt werden, sagt Glatzner: „Eine E-Mail reicht in den allermeisten Fällen aus.“ Allerdings könnte dann auch die Antwort mit den persönlichen Daten per Mail kommen. Glatzner empfiehlt daher, in den Antrag zu schreiben, dass die Antwort schriftlich erfolgen soll. „Viele Unternehmen machen das sowieso und schicken die Antwort grundsätzlich an die gespeicherte Kundenadresse, auch um Missbrauch zu vermeiden.“
Gibt es Probleme mit einer Auskunft nach dem Datenschutzgesetz, können die Datenschutzbeauftragten der Länder Schützenhilfe geben. „Wenn ein Anbieter sich weigert, Auskunft zu geben oder schlicht nicht reagiert, kann man sich an die für den Firmensitz zuständige Datenschutzbehörde wenden“, erklärt Michael Knaps, Sprecher der Landesbeauftragen für Datenschutz Niedersachsen. „Wir haben Möglichkeiten, den Auskunftsanspruch durchzusetzen.“
Schwierig wird es immer dann, wenn ein Unternehmen seinen Sitz nicht in Deutschland hat. Dabei sind auch ausländische Firmen grundsätzlich zur Auskunft nach dem Bundesdatenschutzgesetz verpflichtet. Das gilt laut Birgit Perschke zumindest dann, wenn die Firma ihren Sitz in der EU hat - so will es die Europäische Datenschutzrichtlinie von 1995.
Deutlich schwieriger wird es, wenn das Unternehmen keine EU-Niederlassung hat. Dann greife das deutsche Gesetz, wenn das Unternehmen die Daten in Deutschland physisch verarbeitet, erklärt Perschke: „Der Begriff der Niederlassung ist weit auszulegen: In seinem Urteil zu Google hat der Europäische Gerichtshof im Mai 2014 ausgeführt, dass es genüge, wenn die Niederlassung die Datenverarbeitung in dem entsprechenden Mitgliedstaat fördere.“
Dafür genüge etwa bereits der Verkauf von Werbeplätzen für den jeweiligen nationalen Markt. Deshalb sei zum Beispiel die Google Germany GmbH grundsätzlich als Niederlassung in diesem Sinne zu verstehen, so dass das BDSG und damit auch dessen Auskunftsrecht theoretisch zur Anwendung kommen. Praktisch ist es aber oft schwierig, tatsächlich zu seinem Recht zu kommen. „Viele ausländische Online-Dienste kommen unserer Erfahrung nach ihrer Auskunftspflicht nicht nach“, berichtet Knaps. „Solche Fälle haben wir regelmäßig.“
Zwar bieten Dienste wie Google und Facebook die Möglichkeit, Daten herunterzuladen. Die Optionen dazu finden sich im Nutzerprofil. Experten sind aber skeptisch. Diese Möglichkeit entspreche nicht der Auskunft nach dem Bundesdatenschutzgesetz, kritisiert Knaps: „Man weiß dabei auch nicht, ob es sich bei den abrufbaren Informationen wirklich um alle auf dem Firmen-Server gespeicherten Daten handelt.“
Hat man Auskunft erhalten und stellt Fehler fest, sollte man darauf hinweisen, rät Glatzner. Fehlerhafte Daten müssen korrigiert werden. „Außerdem habe ich ein Recht auf Löschung der Daten, es sei denn, dass sie zur Abrechnung oder zu steuerlichen Zwecken benötigt werden.
