In bestimmten Konstellationen bei der Auftragsverarbeitung kann es durchaus möglich sein, dass ein Auskunftsanspruch eines Betroffenen gegenüber dem Auftragsverarbeiter geltend gemacht wird. Dies ist vor allem denkbar, wenn der Auftragsverarbeiter dem Betroffenen gegenüber prominenter und häufiger in Erscheinung tritt, als der eigentlich für die Datenverarbeitung Verantwortliche.

Fraglich ist hierbei nun, ob der Betroffene einen Auskunftsanspruch gegenüber dem Auftragsverarbeiter geltend machen kann und ob dieser die entsprechenden Informationen herausgeben muss.

Auskunftsrecht im Verhältnis der Auftragsverarbeitung           

Gemäß Art. 28 Abs. 3 S. 2 lit. e) DSGVO trifft den Auftragsverarbeiter grundsätzlich eine Pflicht den Verantwortlichen bei der Beantwortung und Bearbeitung von Betroffenenrechten zu unterstützen. Darunter fällt auch das Auskunftsrecht.  Hier ist jedoch lediglich von der Unterstützung des Verantwortlichen die Rede. Das heißt also nicht, dass die Beantwortung des Auskunftsanspruchs durch den Auftragsverarbeiter durchgeführt werden soll.

Der Auftragsverarbeiter hat dem Grundsatz nach den Weisungen des Verantwortlichen entsprechend zu handeln. Beantwortet der Auftragsverarbeiter eine Auskunftsanfrage ohne Weisung des Auftragsverarbeiters, arbeitet er außerhalb seines Handlungsspielraums. Entsprechende Klauseln zur Beantwortung können aber in der Vereinbarung zur Auftragsverarbeitung oder durch gesonderte Weisungen vereinbart werden. Geschieht dies nicht, begeht der Auftragsverarbeiter einen Verstoß.

Weiterleitung des Auskunftsanspruchs

Dem Vorstehenden entsprechend ist ein Auskunftsanspruch also immer an den Auftraggeber weiterzuleiten, insofern nichts anderes vereinbart ist. Mit der eigenmächtigen Beantwortung von Auskunftsanfragen tut der Auftragsverarbeiter weder sich, noch dem Verantwortlichen einen Gefallen.

Bereits aus dem Gesetz ergibt sich, dass der Betroffenen einen Auskunftsanspruch nur gegenüber dem Verantwortlichen hat: „Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden“ (Art. 15 Abs. 1 DSGVO)

Gehen Auskunftsanfragen bei einem Auftragsverarbeiter ein, sollte grundsätzlich also zunächst an den Verantwortlichen bzw. Auftraggeber verwiesen werden. Selbst wenn ein Betroffener darauf besteht, die Informationen heraus verlangen zu dürfen oder sich beschweren zu wollen, kann dem entgegen gehalten werden, dass er seine Betroffenenrechte nur gegenüber dem tatsächlich für die Verarbeitung Verantwortlichen geltend machen kann.