Ich habe gehört, dass es die Meinung gibt, man müsse im Rahmen einer Auskunftserteilung auch Dokumente mitschicken, in denen der Betroffene z. B. als (Mit-) Autor genannt ist. Bei einer Auskunft durch einen Mitarbeiter würde das alle Dokumente, Konzepte, Vortragspräsentationen etc. einbeziehen, die derjenige im Laufe seiner Unternehmenszugehörigkeit je (mit-) erstellt hat - nur weil sein Name vorn (mit) drauf steht.
Ist das eine Mehrheitsmeinung? Ich hätte hier bislang gar keine “Verarbeitung personenbezogener Daten” gesehen und somit soetwas nicht beauskunftet.
Hallo @anne,
Verarbeitung der personenbezogenen Daten findet nach der Begriffsbestimmung der DSGVO (Art. 4 Nr. 2) doch schon statt, wenn ein personenbezogenes Datum gespeichert oder verwendet wird.
Das trifft ja im Fall des Dokumentenautors zu.
Jetzt kommt es eben darauf an, wie detailreich das Auskunftsersuchen beantwortet wird.
Meiner Meinung nach reicht es ersteinmal nur aus das zu verallgemeinern: z.B. Vorname & Nachname wird bei diversen internen Dokumenten genannt, wenn der Ersteller angegeben wurde oder Kommentare im Dokument gespeichert wurden.
Eventuell bei größeren Artikeln oder wichtigen Werken noch die Titel benennen.
Alles andere würde ich als unverhätlnismäßig hohen Aufwand einstufen.
Hängt aber sicher auch von der Berufsgruppe ab. Ein Journalist oder Buchautor braucht sicher noch etwas mehr Details, als ein Angestellter in der Verwaltung.
Gab es nicht unlängst ein Urteil, das das Recht auf eine Kopie sehr weit ausgelegt hat? Demnach müssten ja alle Dokumente ausgehändigt werden, in denen der Name auftaucht. Ich finde, das wird dann sehr schnell absurd und bildet nicht mehr das ab, was mit dem Auskunftsrecht beabsichtigt wurde.
Vergessen werden darf dann auch nicht die Druckvorlage für die Visitenkarten und die Türschilder der Büros … 
Der Umgang mit diesen Daten erfolgt nicht zu einem eigenen Zweck, sondern erfolgt begleitend (andere Beispiele wären z.B. Rechnungsempfänger). Für mich ist das daher keine Verarbeitung von p.b. Daten.
1 „Gefällt mir“
Art. 15 Abs. 3: “…die Gegenstand der Verarbeitung sind…” = Angaben zur betroffenen Person (Wie man früher gesagt hätte.) Also was man datenmäßig an dieser Person festmacht. Evtl. auch, dass und was sie irgendwann verfasst hat, was unter Bezugnahme auf sie passiert ist,…
Die pbDaten der betroffenen Person in solchen Dokumenten kommen normalerweise auch anderweitig vor und wären schon in der Auskunft enthalten, z. B. Name, betriebliche Kontaktdaten. Jede Angabe wäre nur 1 x zu machen.
Im weiteren Inhalt von Dokumenten wird es oft um andere Personen gehen, so dass er von der Datenkopie ausgenommen werden muss (Art. 15 Abs. 4). Eine Ausnahme von der Ausnahme wären inhaltliche Angaben zur betroffennen Person; z. B. “X ist doof.”; oder wenn Zeitstempel von E-Mails dieser Person gezielt verarbeitet wurden.
D., der es sich so erklärt. Dem “alles, wo die Person irgendwie vorkommt” zu viel wäre. Pauschal jedenfalls. Doch je nach Problemstellung kann es manchmal genau darum gehen.
Eine Einschränkung des Auskunftsrechts durch Art. 15 Abs. 1, Abs. 3 DS-GVO ergibt sich aus der Reichweite des Anspruchs auf Kopie. So gewährt Art. 15 Abs. 3 DS-GVO dem Betroffenen lediglich einen Anspruch auf eine Kopie der „personenbezogenen Daten“, die Gegenstand der Verarbeitung sind. Der EuGH hat mit Urteil v. 4.5.2023 ( C-487/21) klargestellt, dass der Betroffene lediglich Anspruch auf Überlassung einer Kopie seiner personenbezogenen Daten hat. Hierzu hat er unmissverständlich ausgeführt: „Im Übrigen bezieht sich … der Begriff ,Kopie‘ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält".
d.h. in Deinem Beispiel würde mMn die Angabe reichen, dass Vorname+ Nachname als Autor in den Veröffentlichungen x,y,z und Präsentationen abc enthalten sind.
1 „Gefällt mir“
@Beabel
Diese Aussage im Urteil hatte sich so nicht auf dem Schirm. Vielen Dank.
Das macht mE auch Sinn. Sollte sich der Anspruch auf Datenkopie auch auf Dokumente beziehen, wäre es zu ausufernd und mMn nicht umsetzbar.
Bzgl. der Angabe, in welchen konkreten Dokumente der Name enthalten ist, sehe ich allerdings praktische Probleme.
Woher weiß der Verantwortliche denn, in welchen Präsentationen, Protokollen o.ä. die betroffene Person genannt wurde?
Beispiele:
- Chatprotokolle: Mitarbeiter (MA) 1 chattet mit MA2. Dabei tauscht man sich über eine Person aus, es werden Name und ggf. weitere pb Daten/angaben geschrieben.
Wie geht man damit um, wenn diese Person nun Auskunft verlangt?
Gleiches frage ich mich auch für - Präsentationen von Anderen: MA1 schreibt in seiner Präsentation, dass MA2 (Name, Vorname) für xy zuständig ist.
- Im Intranet hat die auskunftbegehrende Person selbst diverse Beiträge verfasst und wird wiederum in anderen erwähnt.
Die Frage mit den Präsentationen habe ich mir auch gerade selbst in diesem Zusammenhang gestellt.
Ich denke mal, hier tut sich noch ein schönes weites Betätigungsfeld im Rahmen des Themas “Wo werden überall pbD verarbeitet und sind alle im Löschkonzept erfasst” auf 
Gerade bei Chats stellt sich mir die Frage, inwieweit überhaupt Chatinhalte gespeichert werden müssen und wann gelöscht wird.
Im Intranet könnte man auch schauen, ob z.B. Inhalte von ausgeschiedenen MA gelöscht oder anonymisiert werden könnten.
Für die Auskunft muss ja nicht jedes Dokument, Protokoll oder Türschild extra aufgeführt werden. Ich hätte das eher unter organisatorische Aufgaben und Abläufe zusammengefasst.
Z.B. Für interne organisatorische Aufgaben und Abläufe, wie interne Cahtverläufe, Protokolle oder andere Dokumente, werden folgende pb Daten verarbeitet: Vorname, Nachname, evtl. Anrede, Zimmernummer, Telefondurchwahl, E-Mail-Adresse innerhalb der Organisation.
Für die Speicherdauer muss man sich sowieso ein Löschkonzept überlegen. Wie lange müssen Protokolle aufbewahrt werden, Chatverlauf kann man sicher irgendwo einstellen. Bei neuen Dokumenten, die nicht mit dem Namen verknüpft werden müssen, da kann man das mit Anweisungen an die Mitarbeiter zukünftig schon lösen. Schwierig wird es bei alten Dokumenten, da hat wirklich kaum jemand Zeit alles durchzuforsten und den Kram zu anonymisieren. Eventuell kann man hier auch Regeln treffen, bei denen dann einmal jährlich oder so, das alte Zeug aussortiert werden muss und in dem Zug die Namen aus den Dokumenten entfernt werden sollen.