§ 83 SGB X: Auskunftsrecht der betroffenen Personen
| veröffentlicht am |
22.06.2020 |
|---|---|
| Änderung | Die GRA wurde vollständig überarbeitet. |
| Stand | 15.06.2020 |
|---|---|
| Erstellungsgrundlage | in der Fassung des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.07.2017 in Kraft getreten am 25.05.2018 |
| Rechtsgrundlage | |
| Version | 002.00 |
| Schlüsselwörter |
|
- Inhalt der Regelung
- Ausnahmen von der Auskunftspflicht (§ 83 Abs. 1 SGB X)
- Verfahren der Auskunftserteilung (§ 83 Abs. 2 SGB X)
- Verfahren bei Ablehnung der Auskunftserteilung (§ 83 Abs. 3 SGB X)
- Überprüfung der Ablehnung der Auskunftserteilung (§ 83 Abs. 4 SGB X)
- Zustimmungspflichtige Auskünfte (§ 83 Abs. 5 SGB X)
- Inhalt der Regelung
- Ausnahmen von der Auskunftspflicht (§ 83 Abs. 1 SGB X)
- Verfahren der Auskunftserteilung (§ 83 Abs. 2 SGB X)
- Verfahren bei Ablehnung der Auskunftserteilung (§ 83 Abs. 3 SGB X)
- Überprüfung der Ablehnung der Auskunftserteilung (§ 83 Abs. 4 SGB X)
- Zustimmungspflichtige Auskünfte (§ 83 Abs. 5 SGB X)
Inhalt der Regelung
Nach Einführung der DSGVO ist das Auskunftsrecht der betroffenen Person über ihre gespeicherten Sozialdaten in Art. 15 DSGVO geregelt.
§ 83 SGB X regelt in Absatz 1 die Beschränkungen des Auskunftsrechts nach Art. 15 DSGVO. Die Absätze 2 bis 4 enthalten Festlegungen zu den Modalitäten für die Auskunftserteilung und auch für die Fälle einer Auskunftsverweigerung. Absatz 5 verlangt in bestimmten Fällen die vorherige Zustimmung dort benannter Stellen.
Ergänzende/korrespondierende Regelungen
§ 83 SGB X enthält nur noch ergänzende Ausnahmeregelungen zu dem sich unmittelbar aus Art. 15 DSGVO ergebenden Auskunftsrecht der betroffenen Person und korrespondiert zum Teil mit § 82a SGB X, § 82 SGB X und mit § 25 Abs. 2 SGB X.
Definitionen der Begriffe des Sozialdatenschutzrechts wie zum Beispiel Sozialdaten finden sich in § 67 SGB X. Die Begriffe „Verantwortlicher“, „Dateisystem“ und „betroffene Person“ sind in Art. 4 DSGVO definiert.
Ausnahmen von der Auskunftspflicht (§ 83 Abs. 1 SGB X)
Art. 15 DSGVO regelt das Auskunftsrecht einer betroffenen Person auf Antrag gegenüber dem Verantwortlichen hinsichtlich der für sie verarbeiteten personenbezogenen Daten.
Nach Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, mit formlosem Antrag und ohne Begründung von der Deutschen Rentenversicherung Auskunft über die für sie gespeicherten personenbezogenen Daten zu verlangen. Ein damit einhergehendes Recht auf Akteneinsicht nach § 25 SGB X beinhaltet dieses Auskunftsrecht nicht. Die Auskunft dient dazu, gezielt die weiteren Betroffenenrechte (Berichtigung, Löschung oder Einschränkung der Verarbeitung) geltend zu machen und die Rechtmäßigkeit der Datenverarbeitung überprüfen zu können.
Durch § 83 Abs. 1 SGB X wird dieses Auskunftsrecht eingeschränkt.
Gefährdung der Erfüllung der gesetzlichen Aufgaben oder der öffentlichen Sicherheit oder Ordnung (§ 83 Abs. 1 Nr. 1 SGB X)
§ 83 Abs. 1 Nr. 1 SGB X schließt das Recht auf Auskunft nach Art. 15 DSGVO aus, soweit auch keine Informationspflicht nach § 82a Abs. 1, 4 und 5 SGB X gegenüber der betroffenen Person besteht (siehe GRA zu § 82a SGB X).
Durch die Antragstellung nach Art. 15 DSGVO muss nach § 82a Abs. 1 Nr. 1 Buchst. a SGB X für eine Gefährdung der Erfüllung von gesetzlichen Aufgaben beispielsweise eine Arbeitsüberlastung tatsächlich und anhaltend hervorgerufen sein und darf nicht ohne weiteres durch anders eingesetztes Personal abgefangen werden können. Reine Arbeitsüberlastung, querulatorische oder außergewöhnlich zahlreiche Auskunftsverlangen reichen für eine Verweigerung nicht aus.
Das Auskunftsrecht wird auch gem. § 82a Abs. 1 Nr. 1 Buchst. b SGB X eingeschränkt, wenn die Erteilung der Information die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde. Dieser Verweigerungsgrund entfaltet nur in ausgesprochenen Einzelfällen seine Wirkung.
Nach § 82a Abs. 1 Nr. 2 SGB X unterbleibt eine Auskunft auch dann, wenn eine Rechtsvorschrift ihr entgegensteht oder die Daten ihrem Wesen nach, insbesondere wegen der berechtigten Interessen Dritter, geheim zu halten sind. Die Geheimhaltungsinteressen eines Informanten sind hier über das Auskunftsinteresse des Betroffenen zu stellen, wenn für eine Fehlinformation keine Anhaltspunkte vorliegen. Weitere Geheimhaltungsinteressen bestehen auch bei mehreren Anspruchsberechtigten, da das Auskunftsrecht nur die Bekanntgabe von Daten der betroffenen Person betrifft.
Mit dem Verweis auf § 82a Abs. 4 SGB X in Verbindung mit § 82 Abs. 1 SGB X wird das Auskunftsrecht nach Art. 15 DSGVO bezogen auf Kategorien von Empfängern und einzelne Empfänger von Sozialdaten eingeschränkt. An wen die Deutsche Rentenversicherung Daten weiterleitet, wird auf den Internetseiten der Rentenversicherungsträger gemäß unserer Informationspflichten nach Art. 13 DSGVO informiert.
Der Verweis auf § 82a Abs. 5 SGB X zur Beschränkung der Auskunftspflicht entspricht wortgleich dem § 83 Abs. 5 SGB X. Eine Auskunft wird nicht erteilt, wenn eine Stelle, deren Zustimmung zur Auskunftserteilung eingeholt werden muss, diese verweigert.
Gespeicherte Daten aufgrund von Aufbewahrungsfristen und Datensicherheitsvorkehrungen (§ 83 Abs. 1 Nr. 2 Buchst. a und b SGB X)
Ein Auskunftsrecht besteht auch dann nicht, wenn Sozialdaten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder wenn sie ausschließlich zu Zwecken der Datensicherung oder der Datenschutzkontrolle dienen.
Diese unter § 83 Abs. 1 Nr. 2 Buchst. a und b SGB X genannten Einschränkungen des Auskunftsrechts nach Art. 15 DSGVO setzen weiterhin voraus, dass die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.
Von einem solchen unverhältnismäßigen Aufwand ist insbesondere dann auszugehen, wenn es durch die für die Auskunftserteilung erforderliche Datenermittlung und -zusammenstellung zu einer erheblichen Behinderung des Verwaltungsablaufs bei der in § 35 SGB I genannten Stelle kommen würde.
Verfahren der Auskunftserteilung (§ 83 Abs. 2 SGB X)
Die Deutsche Rentenversicherung arbeitet daran, zukünftig die Auskunftserteilung nach Art. 15 DSGVO in elektronischer Form zur Verfügung zu stellen.
Antragserfordernis/Angaben der betroffenen Person (§ 83 Abs. 2 S. 1 und 2 SGB X)
Für den Antrag auf Auskunftserteilung ist ausreichend, wenn der Antragsteller das 15. Lebensjahr vollendet hat (analoge Anwendung § 36 SGB I). Einer besonderen Form der Antragstellung bedarf es nicht.
Nach § 83 Abs. 2 S. 1 SGB X hat die betroffene Person die Art der Sozialdaten näher zu bezeichnen, über die Auskunft erteilt werden soll. Dies schließt aber nicht aus, dass im Einzelfall umfassend Auskunft "über alle über mich gespeicherten oder verarbeiteten Sozialdaten" verlangt wird und dem – im Rahmen von Art. 15 DSGVO in Verbindung mit § 83 SGB X – zu entsprechen ist.
Um den Aufwand des Auffindens und gegebenenfalls Aufbereitens des Verantwortlichen von (noch) nicht automatisiert oder in nicht automatisierten Dateisystemen gespeicherten Sozialdaten zu begrenzen, besteht nach § 83 Abs. 2 S. 2 SGB X eine Auskunftspflicht über diese Daten nur dann, wenn die betroffene Person konkrete Angaben zum Auffinden der Daten machen kann. Der Aufwand beim Verantwortlichen soll dabei nicht außer Verhältnis zum Informationsinteresse der betroffenen Person stehen.
Falls der Antrag die nähere Bezeichnung der Sozialdaten nicht enthält, ist darauf hinzuwirken, dass die betroffene Person den Antrag vervollständigt.
Gestaltung des Verfahrens (§ 83 Abs. 2 S. 3 SGB X)
Soweit die Art. 12 Abs. 3 DSGVO, Art. 15 DSGVO keine Regelung enthalten, bestimmt die Form der Auskunftserteilung die Stelle nach § 35 SGB I selbst nach pflichtgemäßem Ermessen. Ein legitimes Kriterium können auch die für die Auskunftserteilungsart anfallenden Aufwendungen sein.
In der Praxis bietet sich an, der betroffenen Person ergänzend zu Art. 15 DSGVO Ausdrucke der automatisiert verarbeiteten Sozialdaten (Kontoauszüge oder Kontoübersichten) oder Kopien aus den Akten zu übersenden. Es können auch frei formulierte Erläuterungen gegeben oder Akteneinsicht oder Einsicht in die EDV-Systeme beim Verantwortlichen angeboten werden. Verkürzt oder verschlüsselt gespeicherte Daten sind der betroffenen Person verständlich zu erläutern.
Dabei bezieht sich der Auskunftsanspruch auf
- die zur betroffenen Person gespeicherten Sozialdaten und
- die Informationen zu den in Art. 15 Abs. 1 Buchst. a bis h DSGVO enthaltenen Angaben.
Voraussetzung ist, dass die Übermittlungsvorgänge nachvollziehbar sind.
Hier steht der Auskunftsanspruch der betroffenen Personen der zunehmend „aktenarmen Verwaltung“ gegenüber, in der oft Standardauskunftsersuchen urschriftlich beantwortet oder nach kurzer Aufbewahrungsdauer vernichtet werden. Aus diesen Gründen ist aus der Auskunft unter Umständen nicht jede Übermittlungshandlung erkennbar.
Es besteht auch keine Verpflichtung, Datenübermittlungen an Dritte aufzuzeichnen, nur um einem möglichen Antrag auf Auskunft zu entsprechen. Dies würde eine unnötige Datenspeicherung auf Vorrat bedeuten, die sich mit dem Grundsatz der Erforderlichkeit zur Aufgabenerfüllung (§ 67c Abs. 1 S. 1 SGB X) und dem Grundsatz der Datenminimierung des Art. 5 Abs. 1 Buchst. c DSGVO nicht vereinbaren lässt. Darüber hinaus könnte gerade die dauerhafte Speicherung derartiger Daten gegen die Interessen der betroffenen Personen verstoßen (beispielsweise bei Strafverfahren oder Unterhaltsschulden).
In der Praxis sind daher die zum Zeitpunkt der Auskunftserteilung vorhandenen Daten den betroffenen Personen zur Verfügung zu stellen.
Schutz der betroffenen Person (§ 83 Abs. 2 S. 4 SGB X)
Für das Verfahren der Auskunftserteilung nach Art. 15 DSGVO ist das Recht auf Akteneinsicht gemäß § 25 Abs. 2 SGB X entsprechend anzuwenden.
Nach § 25 Abs. 2 SGB X soll die Behörde einen Arzt einschalten, wenn zu befürchten ist, dass die betroffene Person durch die Bekanntgabe bestimmter Daten einen unverhältnismäßigen gesundheitlichen Nachteil erleiden würde.
Auch in Fällen, in denen die Entwicklung und Entfaltung der Persönlichkeit der Betroffenen Person durch die Auskunftserteilung beeinträchtigt werden könnte, gilt § 25 Abs. 2 SGB X. Hier soll die Auskunftserteilung durch einen erfahrenen und entsprechend ausgebildeten Mitarbeiter der DRV erfolgen.
Wenn die betroffene Person jedoch auf eine direkte Auskunftserteilung durch die verantwortliche Stelle besteht, kann dies in beiden Fällen nicht abgelehnt werden.
Hinweis:
Einen generellen Antrag und somit das Recht auf Akteneinsicht nach § 25 SGB X beinhaltet Art. 15 DSGVO jedoch nicht.
Verfahren bei Ablehnung der Auskunftserteilung (§ 83 Abs. 3 SGB X)
Es besteht die Pflicht, die Gründe der Verweigerung einer Auskunft nach Art. 15 DSGVO zu dokumentieren (§ 83 Abs. 3 S. 1 SGB X).
Die Ablehnung der Auskunftserteilung ist gegenüber der betroffenen Person nach § 83 Abs. 3 S. 2 SGB X zu begründen, soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. Wird beispielsweise eine Datenübermittlung an die Staatsanwaltschaft von der Auskunftserteilung ausgeschlossen, weil die Staatsanwaltschaft ihre Zustimmung nach § 83 Abs. 5 SGB X nicht gegeben hat, darf dieser Umstand nicht als Ablehnungsgrund genannt werden.
Kann eine Auskunftsverweigerung nicht begründet werden, so ist die betroffene Person darauf hinzuweisen, dass sie sich an die für die Kontrolle des Datenschutzes zuständige Aufsichtsbehörde, den Datenschutzbeauftragten des jeweiligen Landes oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, wenden kann. Diese können die Rechtmäßigkeit der Ablehnung der Auskunftserteilung prüfen.
Überprüfung der Ablehnung der Auskunftserteilung (§ 83 Abs. 4 SGB X)
Wird der betroffenen Person keine Auskunft erteilt, kann sie die Rechtmäßigkeit der Ablehnung von der Datenschutz-Aufsichtsbehörde des Rentenversicherungsträgers prüfen lassen. Aufsichtsbehörde ist – je nach Rentenversicherungsträger - der Datenschutzbeauftragte des jeweiligen Landes oder der Bundesbeauftragte für den Datenschutz.
Diese kontrollieren allerdings nur die Rechtmäßigkeit der Ablehnung mit den ihnen gegebenen Mitteln. Die betroffene Person darf nicht auf diesem Umweg die Auskunft letztlich doch bekommen, es sei denn, der oder die Datenschutzbeauftragte stellt fest, dass die Auskunftsverweigerung nicht zulässig war.
Zustimmungspflichtige Auskünfte (§ 83 Abs. 5 SGB X)
Nach Art. 15 Abs. 1 Bst. c DSGVO besteht grundsätzlich ein Auskunftsanspruch auch über Datenempfänger, also an welche dritten Stellen Daten übermittelt wurden (vergleiche GRA zu Art. 15 DSGVO). In bestimmten Fällen sind diese Stellen vorab um Zustimmung zu bitten. Es handelt sich dabei um
- Staatsanwaltschaften,
- Gerichte im Bereich der Strafverfolgung,
- Polizeibehörden,
- Verfassungsschutzbehörden,
- den Bundesnachrichtendienst und
- den Militärischen Abschirmdienst.
Durch diese Zustimmung soll verhindert werden, dass die betroffene Person vorzeitig von laufenden Ermittlungen erfährt und eventuell Verdunklungshandlungen vornehmen kann. Ob eine solche Gefahr besteht, kann nur die ermittelnde Stelle beurteilen, die die Daten zu Strafverfolgungszwecken und Ähnlichem erhalten hat.
| Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.07.2017 (BGBl. I S. 2541) |
Inkrafttreten: 25.05.2018 Quelle zum Entwurf: BT-Drucksache 18/12611 |
Durch Artikel 24 wurde § 83 SGB X an die DSGVO angepasst.
Absatz 1 enthält Ausnahmeregelungen zu Art. 15 DSGVO, Absatz 2 entspricht im Wesentlichen dem früheren Absatz 1 Satz 2 bis 5, Absatz 3 dem früheren Absatz 5 und Absatz 4 dem früheren Absatz 6. Der Inhalt von Absatz 5 entspricht der Regelung des Absatz 3 alter Fassung.
| Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze vom 18.05.2001 (BGBl. I S. 904) |
Inkrafttreten: 23.05.2001 Quelle zum Entwurf: BT-Drucksache 14/5822 |
Durch Artikel 8 § 2 des Gesetzes zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze wurde Absatz 1 Satz 1 neu gefasst, in Absatz 1 Satz 3 die Wörter „in Akten“ durch die Wörter „nicht automatisiert oder nicht in nicht automatisierten Dateien“ ersetzt, in Absatz 1 Satz 4 das Wort „speichernde“ durch das Wort „verantwortliche“ ersetzt, Absatz 2 neu gefasst sowie in Absatz 4 Nummer 1 das Wort „speichernden“ durch das Wort „verantwortlichen“ ersetzt.
| 4. Euro-Einführungsgesetz vom 21.12.2000 (BGBl. I S. 1983 ) |
Inkrafttreten: 01.01.2001 Quelle zum Entwurf: BT-Drucksache 14/4375 |
Veröffentlichung der Neufassung des vollständigen Wortlauts des SGB X ohne Änderung des § 83 SGB X gemäß Artikel 66 des 4. Euro-Einführungsgesetzes am 30.01.2001 (BGBl. I S. 130).
| 2. SGBÄndG vom 13.06.1994 (BGBl. I S. 1229) |
Inkrafttreten: 01.07.1994 Quellen zum Entwurf: BT-Drucksache 12/5187 und 12/7324 |
Mit Artikel 6 Nummer 4 des 2. SGBÄndG wurde die Vorschrift völlig neu gefasst. Die Novellierung der Vorschriften zum Schutz der Sozialdaten war insbesondere deshalb erforderlich, weil das Bundesdatenschutzgesetz (BDSG) bereits zum 01.06.1991 eine Neufassung erhalten hatte, jedoch die im SGB X enthaltenen Verweisungen auf das BDSG nicht angepasst worden waren.
| SGB X vom 18.08.1980 (BGBl. I S. 1469, 2218) |
Inkrafttreten: 01.01.1981 Quelle zum Entwurf: BT-Drucksache 8/2034 |
Zum 01.01.1981 wurde das Zweite Kapitel des SGB X (§§ 67 bis 67a SGB X) mit den Vorschriften zum Schutz der Sozialdaten eingeführt.