Das Auskunftsrecht nach Art. 15 DSGVO steht jeder betroffenen Person zu, deren personenbezogene Daten verarbeitet werden.
Unter den Begriff „personenbezogene Daten“ fallen gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
Die betroffene Person hat nur Anspruch auf Auskunft über personenbezogene Daten, die sich auf sie selbst beziehen. Die Worte „ihn betreffende personenbezogene Daten“ sollten allerdings von dem Verantwortlichen nicht übermäßig restriktiv ausgelegt werden. So vertreten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte (EDSB) die Auffassung, dass beispielsweise Aufzeichnungen von Telefongesprächen (und deren Niederschrift) zwischen der betroffenen Person, die Auskunft beantragt, und dem Verantwortlichen unter das Auskunftsrecht fallen können, sofern es sich um personenbezogene Daten handelt.
Das Auskunftsrecht ist auch nicht an Nationalität oder Wohnsitz der betroffenen Person gebunden.
Eine betroffene Person kann auch eine andere Person bevollmächtigen, eine Auskunftserteilung für ihn einzuholen. Eine gesetzliche Vertretung ist insbesondere dann erforderlich, wenn eine betroffene Person nicht in der Lage ist, das Recht auf Auskunft selbstständig geltend zu machen. Wann eine solche Situation vorliegt, ist einheitlich für alle Mitgliedstaaten durch das Unionsrecht zu beantworten. Wer von einem Verantwortlichen Auskunft über die eigenen personenbezogenen Daten verlangt, beruft sich nicht nur auf das in Art. 15 Abs. 1 DSGVO gewährleistete Recht, sondern zugleich auf das darin ausgestaltete Grundrecht aus Art. 8 Abs. 2 Satz 2 Var. 1 GRCh. Ohne die Mitwirkung eines Dritten kann eine Grundrechtsposition geltend machen, wer im Einzelfall – obgleich nach nationalem Recht nicht (voll) geschäftsfähig – das erforderliche Maß an Einsichtsfähigkeit aufweist. Dies gilt auch für Art. 15 DSGVO. Auf die Regelungen des nationalen Rechts zur Geschäftsfähigkeit kommt es insofern nicht an.
Eine rechtsgeschäftliche Vertretung ist möglich, wenn die betroffene Person einer oder einem anderen eine Vertretungsmacht erteilt, die (auch) die Geltendmachung der Rechte aus Art. 15 DSGVO gestattet.
In Vertretungsfällen muss der Verantwortliche nicht nur die Identität des Bevollmächtigten überprüfen, sondern auch die Bevollmächtigung selbst. Wird keine Vollmacht vorgelegt, kann das Auskunftsverlangen als offenkundig unbegründet gewertet werden; der Verantwortliche wird auf den Antrag nicht tätig (vgl. Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO). Geht dem Verantwortlichen eine Vollmacht zu, sollte er darauf achten, dass diese aktuell ist und (auch) die Geltendmachung der Rechte aus Art. 15 DSGVO erfasst. Soweit die Auskunft an den Vertreter erteilt werden soll, muss dies nach der Vollmacht oder den Umständen zweifelsfrei dem Willen des Vollmachtgebers entsprechen.
Andernfalls kann der Verantwortliche die Auskunft nur über einen gesicherten Rückkanal unmittelbar der Person zukommen lassen, um deren Daten es geht. Bestehen Zweifel an der Echtheit einer Vollmacht, muss der Verantwortliche versuchen, diese Zweifel auszuräumen (vgl. Art. 12 Abs. 6 DSGVO).
