Ein Spaziergang durch die DS-GVO – Artikel 12

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Wie versprochen und angedroht, marschieren wir nun deutlich bergauf – etwas anstrengender, aber bestenfalls auch lohnend – soll heißen: Artikel 12 ist nicht nur schwieriger, sondern auch wichtiger als Artikel 11.

Gibt es nicht vielleicht eine Abkürzung?

Mit acht Absätzen begleitet uns der Artikel eine ziemlich lange Wegstrecke – und wie wir gleich sehen werden, hat der Gesetzgeber selbst zwar gleich im ersten Satz vorgeschrieben, dass man immer den kürzesten und besten Weg nehmen soll, kurvt aber selbst ziemlich holprig den einen und den anderen Umweg. Aber der Reihe nach: Der ganze Artikel ist eine Gebrauchsanweisung für Kapitel III der DS-GVO. Er enthält allgemeine Vorschriften – vor die Klammer gezogen, wie Juristen gerne sagen – darüber, wie sich der Verantwortliche zu verhalten hat, wenn Betroffene Rechte nach Artikel 13 bis 22 und 34 geltend machen. Die einzelnen Rechte können Sie jetzt noch nicht kennen – da kommen wir erst später vorbei. Freuen Sie sich drauf.

In Kürze wäre Artikel 12 ungefähr:

1. Der Verantwortliche erleichtert den Betroffenen die Wahrnehmung ihrer Rechte. Insbesondere führt er die Kommunikation mit ihnen klar, präzise und leicht zugänglich.
2. Tätigkeiten des Verantwortlichen nach den Artikeln 13 bis 22 und 34 erfolgen für die Betroffenen unentgeltlich und unverzüglich, spätestens jedoch innerhalb eines Monats. Bei offensichtlich unbegründeten Anträgen Betroffener darf der Verantwortliche ein angemessenes Entgelt verlangen oder nach Absatz IV verfahren.
3. Kann die Frist nach Absatz 2 nicht eingehalten werden, informiert der Verantwortliche unverzüglich über die Gründe und die voraussichtliche Bearbeitungsdauer. Diese darf insgesamt drei Monate nicht überschreiten.
4. Sind dem Verantwortlichen geforderte Maßnahmen nach den Artikeln 13 bis 22 und 34 unmöglich, informiert er die Betroffenen unverzüglich, auch über die jeweiligen Gründe sowie über das Recht, Beschwerde bei einer Aufsichtsbehörde zu führen oder einen gerichtlichen Rechtsbehelf einzulegen.

So wäre ungefähr die Abkürzung. Aber wir gehen natürlich den offiziellen Weg:

Absatz 1

Zuerst – gleich in Absatz 1 Satz 1 – wird geregelt, wie die Verantwortlichen mit den Betroffenen zu kommunizieren haben: Präzise, transparent, verständlich, in leicht zugänglicher Form und klarer, einfacher Sprache. Witzig: Sogar in diesem Satz selbst verstößt der Gesetzgeber gleich gegen seine eigene Regel. Er sagt nicht zum Beispiel nicht kommunizieren, sondern „geeignete Maßnahmen treffen, um Informationen und Mitteilungen, die sich auf die Verarbeitung beziehen, zu übermitteln“. Gleich im nächsten Satz wird es noch witziger – oder ärgerlicher (?): „Die Übermittlung […] erfolgt schriftlich oder in anderer Form […]“. Ja – äh – wie denn sonst? Frage an Sie alle: Findet irgendjemand einen Sinn in diesem Satz?

Absatz 2

Ähnlich geht’s weiter bei Absatz 2 in Satz 2: Er regelt dasselbe wie Artikel 11 Absatz 2 – leider etwas anders. Wenn Verantwortliche Betroffene nicht identifizieren können, müssen nach Art. 11 Abs. 2 die Rechte aus Artikel 15 bis 20 nicht bedient werden. Gemäß Artikel 12 Abs. 2 Satz 2 entfallen auch noch die Artikel 21 und 22. Wie denn nun?

Absatz 3

Schnell vorbei und zu Absatz 3. Achtung hier: Man liest oft, die Verantwortlichen müssten Betroffenenrechte innerhalb eines Monats erfüllen. Das ist falsch. Wer sich so lange Zeit lässt, kann Bußgeld und Schadenersatz riskieren: Erfüllt werden muss unverzüglich – und das heißt: So schnell es geht. Man kann sich also nicht einen Monat Zeit lassen, sondern muss sich 1. beeilen und 2. in einem Monat fertig werden. Wenn das überhaupt nicht geht, darf verlängert werden; aber nicht einfach so „um weitere zwei Monate“ – das hat der Gesetzgeber ganz unpräzise, intransparent und unverständlich nur so hingeschrieben – sondern nur um die Zeit, die es wirklich braucht.

Absätze 4 und 5

Absatz 4 ist selbsterklärend und bei Absatz 5 wird uns demnächst vom EuGH erklärt, wann Betroffene sich exzessiv verhalten – zwei Verfahren sind dazu bei ihm anhängig. In der Rechtssache C-416/23 hat der Generalanwalt sich bereits geäußert – der EuGH folgt in seinen Entscheidungen häufig den Auffassungen der Generalanwaltschaft: Allein die Häufigkeit von Anfragen führt noch nicht zum Exzess. Dazu kommen muss eine missbräuchliche Absicht, also ein datenschutzfremdes Ziel. In diese Richtung gehen auch Entscheidungen der Oberlandesgerichte Brandenburg (Urt. v. 14.04.2023, Az.: 11 U 233/22) und Nürnberg (Urt. v. 14.03.2021, Az.: 8 U 2907/21).

Absatz 6

Absatz 6 ist wieder ein Verstoß gegen das Gebot der Klarheit und Kürze: Steht alles schon in Artikel 11 und außerdem kann der Verantwortliche bei „begründeten Zweifeln an der Identität“ nicht nachfragen, sondern er muss.

Absätze 7 und 8

Die Absätze 7 und 8 gehören zusammen… gestrichen. Bildsymbole darf man sowieso verwenden und bitte nicht „[…] Rechtsakte zur Bestimmung […] der Verfahren für die Bereitstellung standardisierter Bildsymbole […] erlassen“! Sonst prüfen die Datenschutzbeauftragten demnächst, ob das Kamerasymbol die richtige Farbe hat.

Fazit zum Spazierweg bei Artikel 12: Sehr schöne Ziele. Aber der Weg ist unnötig anstrengend.

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.