Auftragsverarbeiter wird um Auskunft angefragt
Wie verhalten diese sich korrekt? Ist ein Verweis auf den Verantwortlichen ausreichend und richtig?

Art. 15 DSGVO:

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)die Verarbeitungszwecke;

b) …“

Das heißt: nur der Verantwortliche ist zur Auskunft verpflichtet, nicht der Auftragsverarbeiter.

Siehe auch Paper des Landesbeauftragten für den Datenschutz in Niedersachsen:

„Bei einer Auftragsverarbeitung ist der Auftraggeber zur Auskunft verpflichtet, nicht der
Auftragsverarbeiter.“

Auftragsverarbeiter wird um Auskunft angefragt
Wie verhalten diese sich korrekt? Ist ein Verweis auf den Verantwortlichen ausreichend und richtig?

Und: Zur Auftragsverarbeitung ist in Art. 28 Abs. 3 lit. e DSGVO geregelt:

Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

Ergebnis:

Auftragsverarbeiter ist nicht gesetzlich zur Auskunft verpflichtet, das ist nur der Verantwortliche. Aber er ist im Innenverhältnis dem Verantwortlichen gegenüber ggf. zur Unterstützung bei der Auskunftserteilung verpflichtet. Der Verweis auf den Verantwortlichen ist damit ausreichend und richtig!

Es gibt sogar die Auffassung, dass der Auftragsverarbeiter Auskunftsanfragen von Betroffenen nicht beantworten darf, weil Auftragsverarbeiter als Auftragnehmer Betroffenenrechte nicht ohne Vereinbarung bzw. Weisung des Verantwortlichen ausüben dürfen. Die Daten stehen in Verantwortung des Auftraggebers/Verantwortlichen. Diese Auffassung ist sehr gut vertretbar!

Datenschutzbeauftragter wird um Auskunft angefragt
Fällt diese Verarbeitung unter die Ausnahme „Datenschutzkontrolle“ nach § 34 Abs. 1 Nr. 2 lit. b BDSG? 

Gola/Heckmann/Werkmeister BDSG § 34 Abs. 1 Nr. 2b) -  Datensicherung und Datenschutzkontrolle (lit. b):

„Eine Ausnahme vom Auskunftsrecht kann ebenfalls gemäß Abs. 1 Nr. 2 lit. b hinsichtlich ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienenden Daten begründet werden. …“

„Zur Datensicherung dienende Daten werden in der Regel gespeichert, um einen für einen anderen Zweck tatsächlich benötigten Datenbestand im Falle des Verlustes oder der Zerstörung wiederherstellen zu können. Ein typisches Beispiel sind etwa Sicherungskopien auf externen Speichermedien.“

„Zum Zwecke der Datenschutzkontrolle gespeicherte Daten können solche sein, die über durchgeführte Kontrollen Auskunft geben, wie etwa Protokolldateien. …“

--> Hier steht nichts vom Datenschutzbeauftragten!

Der Datenschutzbeauftragte ist nicht Verantwortlicher und ist daher nicht zur Auskunft nach Art. 15 DSGVO verpflichtet.

Stand: 25.05.2022