Kitabı oku: «Praxishandbuch DSGVO», sayfa 33

c) Umfang des Auskunftsrechts nach Art. 15 Abs. 1 und 2 DSGVO

204

Nach hier vertretener Ansicht bezieht sich das Auskunftsrecht der betroffenen Person – vorbehaltlich des Vorliegens etwaiger Ausnahmen – grundsätzlich auf sämtliche (derzeit) durch den Verantwortlichen über sie verarbeitete Daten – also auf sämtliche vorhandenen Daten.276 Dazu zählen nach hier vertretener Auffassung z.B. grundsätzlich auch Daten, die in Logfiles enthalten sind oder nur zu Datenschutz- und Datensicherungszwecken aufbewahrt werden.277

205

Zur Erfüllung des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO gehört es, dass bei der Auskunftserteilung die Anforderungen des Art. 12 Abs. 1 S. 1 DSGVO gewahrt werden, die Auskunft also in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt wird.278 Vor diesem Hintergrund seien – zumindest nach Auffassung des AG Wertheim – auch Formulierungen – wie z.B. bei der Beauskunftung der Herkunft der Daten gem. Art. 15 Abs. 1 lit. g DSGVO –, dass die Daten „z.B. von XY“ kommen, unzulässig, da die betroffene Person dieser Angabe nicht zweifelsfrei entnehmen könne, ob die Daten tatsächlich von XY an den Verantwortlichen übermittelt wurden oder nicht.279

206

Vom Auskunftsanspruch nicht umfasst sind hingegen nicht mehr beim Verantwortlichen (oder ggf. einem seiner Auftragsverarbeiter) vorhandene Daten, also Daten, die (nur) in der Vergangenheit verarbeitet wurden.280 Allerdings kann es – wie in den Ausführungen zu dem jeweils zu beauskunftenden Punkt erläutert – ggf. erforderlich sein, bestimmte Angaben gespeichert zu halten bzw. vorzuhalten, damit der Verantwortliche die gegenüber der betroffenen Person bestehenden Auskunftspflichten erfüllen kann.281

207

Außerdem ist in diesem Zusammenhang zu beachten, dass der Verantwortliche gem. Art. 11 Abs. 1 DSGVO nicht verpflichtet ist, Angaben, mittels derer die betroffene Person identifiziert werden kann, zu erheben oder gespeichert zu erhalten, nur um deren Auskunftsanspruch gem. Art. 15 DSGVO zu erfüllen, die identifizierenden Angaben für den verfolgten Verarbeitungszweck ansonsten aber nicht erforderlich sind.282

208

Bei der Auskunftserteilung kann grundsätzlich nicht auf eine bereits in der Vergangenheit erteilte Auskunft verwiesen werden, da sich die beauskunfteten Daten in der Zwischenzeit geändert haben können. Außerdem könnte die betroffene Person auch daran interessiert sein festzustellen, dass insoweit keine Veränderung stattgefunden hat. Mithin würde das Auskunftsrecht – zumindest nach Ansicht des AG München – entkernt, wenn der Verantwortliche die betroffene Person grundsätzlich auf eine bereits in der Vergangenheit erteilte Auskunft verweisen könnte.283 Ebenso sollten Unternehmen grundsätzlich darauf verzichten, (nur) eine „Differenzauskunft“ zu erteilen, die sich auf die Veränderungen seit der letzten Auskunftserteilung beschränkt, sofern die betroffene Person nicht genau dies verlangt.284

2. Ausnahmen vom Auskunftsrecht

209

Art. 15 DSGVO enthält nach hier vertretener Ansicht selbst keine Ausnahmen vom Auskunftsanspruch nach Art. 15 Abs. 1 und 2 DSGVO. So bezieht sich Art. 15 Abs. 4 DSGVO, der festlegt, dass das Recht auf Erhalt einer Kopie [...] die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf, nach hier vertretener Auffassung ausschließlich auf das Recht zum Erhalt einer Kopie gem. Art. 15 Abs. 3 DSGVO, nicht aber auf den Auskunftsanspruch nach Art. 15 Abs. 1 und 2 DSGVO.285

210

Demzufolge darf ein Verantwortlicher die Auskunft auf Grundlage der DSGVO nur dann verweigern, wenn

 – ein Antrag nach Art. 12 Abs. 5 S. 2 lit. b DSGVO offenkundig unbegründet ist oder der Antrag einen exzessiven Charakter hat,286

 – er nach Art. 12 Abs. 2 i.V.m. Art. 11 Abs. 2 DSGVO glaubhaft machen kann, nicht in der Lage zu sein, die betroffene Person in seinem Datenbestand zu identifizieren (er ihr also keine Daten zuzuordnen vermag),287 oder

 – er den Antragsteller nicht identifizieren kann (Art. 12 Abs. 6, Abs. 2 S. 2, Art. 11 Abs. 2 DSGVO).288

211

Gegebenenfalls kann eventuell auch noch argumentiert werden, dass der Verantwortliche die Auskunft verweigern darf, soweit die Auskunftserteilung mit einem unverhältnismäßigen Aufwand (i.S.d. § 275 Abs. 2 BGB) für ihn verbunden wäre.289

212

Außerdem sind – zumindest in Deutschland – auch im nationalen Datenschutzrecht noch Ausnahmen vom Auskunftsanspruch gem. Art. 15 Abs. 1 und Abs. 2 DSGVO vorgesehen.

213

Die in der DSGVO und im deutschen BDSG vorgesehenen Ausnahmen vom Auskunftsrecht werden im Folgenden erläutert. Verweigert ein Verantwortlicher die Auskunft, muss er die betroffene Person nach Maßgabe von Art. 12 Abs. 3 DSGVO bzw. Art. 12 Abs. 4 DSGVO darüber informieren290 – je nachdem, welcher Ansicht zum Anwendungsbereich der jeweiligen Vorschrift gefolgt wird (siehe ausführlich hierzu unter Rn. 284) – wobei er auch die in der jeweiligen Norm geregelten Fristen (die sich ggf. voneinander unterscheiden können) einzuhalten hat.291

Achtung

Nicht ganz eindeutig klar ist, inwieweit Art. 12 Abs. 3 bzw. Art. 12 Abs. 4 DSGVO in diesem Zusammenhang teilweise durch § 34 Abs. 2 S. 1 und S. 2 BDSG modifiziert wird292 – vorausgesetzt, dass das BDSG im jeweiligen Fall anwendbar ist. § 34 Abs. 2 S. 1 und S. 2 BDSG enthalten eine besondere Dokumentations- sowie eine besondere Begründungspflicht im Fall der Auskunftsverweigerung.

So deutet die Systematik von § 34 Abs. 2 BDSG darauf hin, dass ein Verantwortlicher die in S. 1 und S. 2 enthaltenen Regelungen – entgegen der in der datenschutzrechtlichen Literatur wohl überwiegend geäußerten Ansicht – nicht nur dann beachten muss, wenn er aufgrund von § 34 Abs. 1 BDSG die Auskunft verweigert,293 sondern ganz generell auch dann, wenn er die Auskunft gem. Art. 15 DSGVO aus einem anderen Grund verweigert. So normiert § 34 Abs. 2 S. 3 BDSG eine besondere Zweckbindung für personenbezogene Daten, die zum Zweck der Auskunftserteilung an die betroffene Person und zu deren Vorbereitung gespeichert werden. Da § 34 Abs. 1 BDSG aber lediglich Ausnahmen vom Auskunftsrecht nach Art. 15 DSGVO beinhaltet – und somit auf Basis von § 34 Abs. 1 BDSG keine Auskünfte erteilt werden – kann sich jedenfalls § 34 Abs. 2 S. 3 BDSG nicht auf § 34 Abs. 1 BDSG beziehen. Mithin muss jedenfalls diese Regelung an die allgemeine Pflicht zur Auskunftserteilung nach Art. 15 DSGVO anknüpfen.294

Daraus könnte geschlussfolgert werden, dass dies dann auch für § 34 Abs. 2 S. 1 und 2 BDSG gelten müsse, da sich dem Wortlaut der Vorschrift kein Hinweis entnehmen lässt, dass die Regelungen in S. 1 und S. 2 an eine andere Vorschrift als S. 3 anknüpfen. Mithin scheint die gemeinsame Regelung zusammen mit S. 3 in einem Absatz also dafür zu sprechen, dass § 34 Abs. 2 S. 1 und 2 BDSG sich auch auf Art. 15 DSGVO beziehen und somit Art. 12 Abs. 3 DSGVO bzw. Art. 12 Abs. 4 DSGVO ganz generell modifizieren, wenn eine nach Art. 15 DSGVO zu erteilende Auskunft verweigert wird (gleichgültig, ob auf Basis von § 34 Abs. 1 DSGVO oder einer anderen Ausnahme). Siehe zu den Inhalten der Pflichten aus § 34 Abs. 2 S. 1 und 2 BDSG die Ausführungen unter Rn. 243.

Gegen diese Argumentation scheint allerdings der Wille des bundesdeutschen Gesetzgebers zu sprechen. So soll es sich bei den in § 34 Abs. 2 S. 1 und 2 BDSG enthaltenen Pflichten ausweislich der Gesetzesbegründung um Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen i.S.d. Art. 23 Abs. 2 lit. c, d, g und h handeln.295 Art. 23 Abs. 2 DSGVO statuiert Anforderungen an Rechtsvorschriften der EU oder der Mitgliedstaaten, durch welche die Betroffenenrechte zu einem der in Art. 23 Abs. 1 DSGVO genannten Zwecke beschränkt werden.296 Mithin sollen durch § 34 Abs. 2 S. 1 und 2 DSGVO also Anforderungen gewahrt werden, die der Gesetzgeber beachten muss, wenn er Betroffenenrechte einschränkt.

Vorliegend schränkt der Gesetzgeber das Auskunftsrecht gem. Art. 15 DSGVO durch § 34 Abs. 1 BDSG ein. Wenn nun aber der Sinn und Zweck von § 34 Abs. 2 S. 1 und 2 BDSG darin besteht, die vom Verordnungsgeber aufgestellten Anforderungen an eine solche Einschränkung zu erfüllen, spricht nach hier vertretener Auffassung viel dafür, dass sich die dazu getroffenen Maßnahmen auch nur auf diese Einschränkung beziehen und nicht auch auf das durch die Rechtsvorschrift eingeschränkte Betroffenenrecht generell. Mit anderen Worten sind § 34 Abs. 1 und Abs. 2 S. 1 und 2 BDSG also als „in sich geschlossenes Gesamtpaket“ zu betrachten, mittels dessen der bundesdeutsche Gesetzgeber das Auskunftsrecht gem. Art. 15 DSGVO einschränkt und die in der DSGVO dafür vorgesehenen Anforderungen wahren möchte. Somit spricht der Wille des bundesdeutschen Gesetzgebers nach hier vertretener Ansicht also dafür, dass § 34 Abs. 2 S. 1 und 2 BDSG nur dann zu beachten sind, wenn der Verantwortliche die Auskunft auf Basis von § 34 Abs. 1 BDSG verweigert.297

Allerdings ergeben sich in der Praxis aus diesen beiden Auslegungsmöglichkeiten i.d.R. ohnehin kaum unterschiedliche Auswirkungen. So ergibt sich eine Pflicht zur (internen) Dokumentation der Auskunftsverweigerung in vielen Fällen auch unabhängig von § 34 Abs. 2 S. 1 DSGVO schon aus der (allgemeinen) Rechenschaftspflicht des Verantwortlichen.298 Ebenso ist die Ablehnung der Auskunft auch nach Art. 12 Abs. 4 DSGVO und wohl auch nach Art. 12 Abs. 3 DSGVO zu begründen.299 Vor diesem Hintergrund spielt dann auch die Frage der Europarechtskonformität von § 34 Abs. 2 S. 1 und 2 BDSG nur eine untergeordnete Rolle.

Unternehmen sollten vor diesem Hintergrund also in jedem Fall die Gründe der Verweigerung eines Auskunftsverlangens dokumentieren.

Praxishinweis

Folgt man entgegen der hier vertretenen Ansicht der Auffassung der deutschen Datenschutzaufsichtsbehörden und einem Teil der datenschutzrechtlichen Literatur, dass es sich bei Art. 15 Abs. 3 DSGVO (nur) um eine Konkretisierung des Auskunftsrechts gem. Art. 15 Abs. 1 und 2 DSGVO handelt,300 hätte dies zur Folge, dass die in Art. 15 Abs. 4 DSGVO normierten Ausnahmen auch im Rahmen der Auskunft nach Art. 15 Abs. 1 und 2 DSGVO gelten würden.301

a) Ausnahmen vom Auskunftsrecht gem. Art. 15 Abs. 1 und Abs. 2 DSGVO in der DSGVO

214

Auch wenn Art. 15 DSGVO nach hier vertretener Ansicht im Hinblick auf den Auskunftsanspruch nach Art. 15 Abs. 1 und 2 DSGVO keine ausdrücklichen Ausnahmen beinhaltet, enthält die DSGVO an anderen Stellen einige Regelungen, die den allgemeinen Auskunftsanspruch einschränken.302

aa) Offenkundige Unbegründetheit oder Exzessivität des Antrags (Art. 12 Abs. 5 S. 2 lit. b DSGVO)

215

Zunächst kann eine solche Ausnahme gem. Art. 12 Abs. 5 S. 2 lit. b DSGVO in dem Fall bestehen, dass der Antrag der betroffenen Person offenkundig unbegründet oder exzessiv ist.

Praxishinweis

Der Bayerische Landesbeauftragte für den Datenschutz hat ein Arbeitspapier zu der Frage veröffentlicht, wann offensichtlich unbegründete und exzessive Anträge i.S.v. Art. 12 Abs. 5 DSGVO vorliegen.303 Auch wenn sich die Ausführungen an bayerische öffentliche Stellen richten und grundsätzlich relativ strenge Positionen vertreten werden, kann dieses Dokument für Unternehmen ggf. hilfreich sein, z.B. als Argumentationshilfe.

aaa) Tatbestandliche Voraussetzungen

216

Offenkundig unbegründet ist ein Antrag, wenn das Fehlen der Anspruchsvoraussetzungen „auf der Hand liegt“ bzw. offen zutage tritt und der Antrag eindeutig aussichtlos ist.304 Dies kann z.B. der Fall sein, wenn nicht die betroffene Person oder ihr Vertreter Betroffenenrechte geltend machen will oder (außer im Fall der Negativauskunft gem. Art. 15 Abs. 1 Hs. 1 DSGVO) der Verantwortliche keine Daten über die Person gespeichert hat und sie trotzdem Betroffenenrechte geltend macht, obwohl ihr dieser Umstand bekannt ist.305

217

Nicht abschließend im Gesetz geregelt ist, wann ein exzessives Stellen von Auskunftsanträgen vorliegt. So besagt Art. 12 Abs. 5 S. 2 DSGVO lediglich, dass dies insbesondere bei häufiger Wiederholung der Fall sein kann. Allerdings muss die betroffene Person ihr Auskunftsrecht durchaus in angemessenen Abständen wiederholt wahrnehmen dürfen.306 Mithin muss zu der wiederholten Ausübung noch etwas hinzukommen, damit das Auskunftsverlangen exzessiv wird. So verlangt ein exzessives Verlangen einen „Geruch des Rechtsmissbrauchs“,307 also dass z.B. nicht ansatzweise erkennbar ist, was die vom Verantwortlichen geforderte Leistung zur Verwirklichung des Datenschutzgrundrechts beitragen soll.308 Dies kann z.B. der Fall sein, wenn die betroffene Person ohne sachlichen Grund häufig immer wieder denselben Antrag stellt.309 Aber nicht nur die häufige Antragstellung kann eine Exzessivität i.S.d. Art. 12 Abs. 5 S. 2 DSGVO bedeuten.

218

Auch inhaltliche Aspekte können hierzu führen, z.B. wenn die betroffene Person den Verantwortlichen durch das Stellen eines Antrags schädigen möchte, weil dessen Bearbeitung einen erheblichen Aufwand mit sich bringt oder es ihr nur darum geht, Sanktionswirkungen gegen den Verantwortlichen zu erreichen, insbesondere in einem nicht-datenschutzrechtlichen Konflikt.310 Auch wenn die betroffene Person die Erfüllungsmodalitäten überspezifisch angibt (z.B. nur ein bestimmtes Format)311 oder sie ein pauschales Verlangen auf berechtigte Nachfrage des Verantwortlichen (Erwägungsgrund 63 S. 7) nicht präzisiert (sondern z.B. das pauschale Verlangen bestätigt), kann nach hier vertretener Ansicht ggf. ein exzessiver Antrag vorliegen.312 Ebenfalls ist es nach hier vertretener Auffassung nicht ausgeschlossen, unter gewissen Voraussetzungen im Einzelfall auch zu argumentieren, dass ein Antrag exzessiv sei, weil die betroffene Person bereits über die Informationen verfügt.313

bbb) Rechtsfolge: Ablehnung des Antrags und Verhältnis zu Art. 12 Abs. 5 S. 2 lit. a DSGVO

219

Ist ein Antrag offensichtlich unbegründet oder exzessiv, kann der Verantwortliche – wie soeben erläutert – gem. Art. 12 Abs. 5 S. 2 lit. b DSGVO den Antrag der betroffenen Person ablehnen. Andererseits kann der Verantwortliche bei Vorliegen derselben Tatbestandsvoraussetzungen gem. Art. 12 Abs. 5 S. 2 lit. a DSGVO die Auskunft auch erteilen, aber dafür ein angemessenes Entgelt verlangen. Vor diesem Hintergrund stellt sich die Frage nach dem Verhältnis dieser beiden Möglichkeiten des Verantwortlichen, also der beiden in Art. 12 Abs. 5 S. 2 DSGVO genannten Rechtsfolgen.

220

In der datenschutzrechtlichen Literatur ist umstritten, ob es sich um ein „echtes Wahlrecht“ des Verantwortlichen handelt – er also frei zwischen den beiden Rechtsfolgen wählen darf – oder nicht.

221

Teilweise wird insbesondere unter Verweis auf den Wortlaut der Norm vertreten, dass der Verantwortliche frei wählen könne, ob er bei Vorliegen der Tatbestandsvoraussetzungen (für diese gelten die Ausführungen unter Rn. 216ff. entsprechend) ein angemessenes Entgelt verlangt oder den Antrag nicht erfüllt – und zwar unabhängig davon, ob die betroffene Person bereit ist, das Entgelt zu bezahlen oder nicht.314

222

Andere Autoren vertreten hingegen die Ansicht, dass die Weigerung, den Antrag zu erfüllen, ggf. treuwidrig sein könne, insbesondere wenn der Antragsteller bereit sei, das angemessene Entgelt zu entrichten.315

223

Auch wenn nach hier vertretener Ansicht gute Argumente für ein „echtes Wahlrecht“ sprechen, insbesondere der Wortlaut der Norm und dass dem Verantwortlichen in derartigen Fällen nicht nur Kosten entstehen, sondern auch Ressourcen gebunden werden,316 sollten Verantwortliche aus Gründen der Haftungsvermeidung die Erfüllung eines Antrags möglichst nur dann verweigern, wenn ihnen keine andere Wahl bleibt, zumal sie für das Vorliegen der Tatbestandsvoraussetzungen beweisbelastet sind.

224

Soweit bei der Entscheidung über die Ablehnung des Auskunftsantrags inhaltlich eine Abwägung zwischen den Interessen der betroffenen Person und den Gründen, die ggf. zur Ablehnung führen können, erfolgen muss, kann es ggf. erforderlich sein, dass der Verantwortliche die betroffene Person um eine Begründung (für das Auskunftsverlangen), die er für die Abwägung benötigt, bittet, bevor er – unter Berücksichtigung der Begründung der betroffenen Person – abschließend über die Ablehnung entscheidet.317

225

In jedem Fall ist eine Information erforderlich, wenn der Verantwortliche den Auskunftsantrag abschließend auf Basis von Art. 12 Abs. 5 S. 2 lit. b DSGVO ablehnt. Dann muss er die betroffene Person nach Maßgabe von Art. 12 Abs. 3 DSGVO bzw. Art. 12 Abs. 4 DSGVO hierüber informieren.318

bb) Verantwortlicher ist nicht in der Lage, die betroffene Person in seinem Datenbestand zu identifizieren (Art. 12 Abs. 2 i.V.m. Art. 11 Abs. 2 DSGVO)

226

Auch wenn der Verantwortliche glaubhaft machen kann, dass er die anfragende betroffene Person in seinem Datenbestand nicht bestimmen und ihr deshalb auch keine Daten zuzuordnen vermag – er die anfragende betroffene Person in seinem Datenbestand also nicht finden kann –,319 wird er gem. Art. 12 Abs. 2 S. 2 und Art. 11 Abs. 2 DSGVO (insoweit) von der Auskunftspflicht gem. Art. 15 Abs. 1 und 2 DSGVO befreit.320

Praxishinweis

Von der hier erläuterten Situation ist der Fall zu unterscheiden, dass der Verantwortliche den Antragsteller nicht identifizieren kann oder er berechtigte Zweifel an dessen Identität hat. Dieser Fall ist in Art. 12 Abs. 6 DSGVO geregelt (siehe zu diesem Fall die Erläuterungen unter Rn. 229ff.).

Außerdem ist diese Situation von dem Fall zu unterscheiden, dass der Verantwortliche keine Daten über den Antragsteller verarbeitet. In diesem Fall ist dem Antragsteller gem. Art. 15 Abs. 1 Hs. 1 DSGVO nur dieser Umstand mitzuteilen (sog. „Negativauskunft“).

227

Welche Merkmale in einem Datensatz enthalten sein müssen, um die Person zu bestimmen, auf welche sich dieser bezieht, und diesen dem Antragsteller ggf. zuordnen zu können, hängt vom jeweiligen Einzelfall ab. I.d.R. wird der Name der Person nicht ausreichen, da dieser i.d.R. nicht einzigartig ist.

228

Kann der Verantwortliche die anfragende betroffene Person in seinem Datenbestand nicht identifizieren (sie also dort nicht finden), muss er den Antragsteller gem. Art. 11 Abs. 2 DSGVO hierüber informieren.321 Zudem hat die anfragende betroffene Person gem. Art. 11 Abs. 2 S. 2 DSGVO in diesem Fall das Recht, dem Verantwortlichen zusätzliche Informationen zur Verfügung zu stellen, die ggf. seine Identifizierung in dem Datenbestand ermöglichen. Kann der Verantwortliche die anfragende betroffene Person infolgedessen in seinem Datenbestand identifizieren, muss er dieser die gewünschte Auskunft – sofern eine entsprechende Auskunftspflicht besteht – gem. Art. 15 Abs. 1 und 2 DSGVO erteilen. Stellt die anfragende betroffene Person hingegen keine zusätzlichen Informationen zur Verfügung oder kann der Verantwortliche die anfragende betroffene Person in seinem Datenbestand trotzdem nicht auffinden, ist er gem. Art. 12 Abs. 2 S. 2 und Art. 11 Abs. 2 S. 2 DSGVO von der Auskunftspflicht befreit. In diesem Fall muss der Verantwortliche die anfragende betroffene Person nach Maßgabe von Art. 12 Abs. 3 DSGVO bzw. Art. 12 Abs. 4 DSGVO informieren.322

cc) Verantwortlicher ist nicht in der Lage, den Antragsteller zu identifizieren (Art. 12 Abs. 2 i.V.m. Art. 11 Abs. 2 DSGVO)

229

Ebenso ist der Verantwortliche berechtigt, die Auskunft unter gewissen Umständen zu verweigern, wenn er den Antragsteller nicht identifizieren kann. Hierdurch soll verhindert werden, dass der Verantwortliche Unberechtigten gem. Art. 15 Abs. 1 und Abs. 2 DSGVO Auskünfte über die betroffene Person erteilt.

230

Hat der Verantwortliche begründete Zweifel an der Identität der auskunftssuchenden Person, ist er nach hier vertretener Ansicht gem. Art. 12 Abs. 6 DSGVO faktisch verpflichtet, zunächst zusätzliche Informationen bei dieser anzufordern, die zur Bestätigung ihrer Identität erforderlich sind (siehe Rn. 252ff.).323

231

Kann ein Verantwortlicher glaubhaft machen, dass er – auch nachdem er zusätzliche Informationen beim Antragsteller zur Bestätigung von dessen Identität angefordert hat – nicht in der Lage ist, diesen zu identifizieren, weil der Antragsteller entweder keine tauglichen zusätzlichen Informationen zur Verfügung stellt, er nicht auf die berechtigte Nachfrage des Verantwortlichen reagiert oder er es ablehnt, weitere Informationen zur Verfügung zu stellen, ist der Verantwortliche nach Art. 12 Abs. 2 i.V.m. Art. 11 Abs. 2 S. 2 DSGVO nicht zur Auskunft nach Art. 15 DSGVO verpflichtet.324 Hierüber ist der Antragsteller dann nach Maßgabe von Art. 12 Abs. 3 DSGVO bzw. Art. 12 Abs. 4 DSGVO zu informieren.325

232

Da die Identifizierung des Antragstellers in der Praxis – jedenfalls außerhalb von Massenauskunftsverfahren – regelmäßig wohl nicht scheitern wird und der Verantwortliche die Auskunft mit dieser Begründung daher nur selten wird verweigern können, handelt es sich bei dem Problem der (anfangs) nicht möglichen Identifizierung der auskunftssuchenden Person und dem Anfordern weiterer Informationen zur Bestätigung der Identität in der Praxis in den meisten Fällen um eine Modalität im Rahmen des Verfahrens der Auskunftserteilung. Vor diesem Hintergrund wird die hier angerissene Problematik ausführlich unter Rn. 252ff. im Zusammenhang mit den Modalitäten der Auskunftserteilung erläutert, so auch, ob der Verantwortliche nachweisen können muss, dass er den Antragsteller nicht identifizieren kann, oder ob es ausreicht, wenn er dies (nur) glaubhaft macht.