Der Europäische Gerichtshof hat entschieden, dass Unternehmen nicht einfach Auskunftsersuchen nach Art. 15 DSGVO ablehnen dürfen, nur weil dahinter möglicherweise Interessen stehen, die nichts mit dem Datenschutz zu tun haben, wie zum Beispiel die Suche nach Interna, Geschäftsgeheimnissen oder prozessual interessante Informationen zur Vorbereitung rechtlicher Auseinandersetzungen.
In Deutschland gab es bisher Bedenken hinsichtlich des Missbrauchs dieses Auskunftsrechts, besonders wenn Anfragen übermäßig waren oder mit Zahlungsangeboten verbunden wurden. Der Europäische Gerichtshof hat jedoch klargestellt, dass legitime Anliegen, auch solche, die nicht direkt mit dem Datenschutz zusammenhängen, nicht automatisch abgelehnt werden können, da der Betroffene sein Auskunftsrecht nicht begründen muss.
Allerdings haben Unternehmen das legitime Interesse, sensible Informationen nicht preiszugeben. Eine Möglichkeit, dies zu tun, besteht darin, die Auskunft auf persönliche Daten zu beschränken. Manchmal enthalten Dokumente indirekte Informationen über eine Person wie Finanzen, Verträge und Beziehungen zu Dritten. Es spricht viel dafür, dass sich das Unternehmen in diesem Fall darauf beschränken kann, gefilterte und aggregierte Datensätze mit Personendaten zu beauskunften. Dies ist jedoch oft aufwendig und kann durch Herausnahme aus dem Kontext die Transparenz der Datenverarbeitung beeinträchtigen.
Es ist wichtig zu beachten, dass Unternehmen Auskünfte nicht einfach verweigern können, nur weil es viel Aufwand bedeutet. Sie können jedoch den Betroffenen auffordern, ihre Anfrage zu präzisieren. Unternehmen können auch die Offenlegung von Informationen ablehnen, wenn diese ihre Geschäftsgeheimnisse gefährden oder unverhältnismäßige Nachteile verursachen würden.
Es ist eine Abwägung zwischen dem Interesse des Betroffenen an Informationen und den berechtigten Geheimhaltungsbedürfnissen des Unternehmens erforderlich. Es gibt keine Pauschalentscheidung, jede Anfrage muss individuell bewertet werden.
Das Recht auf Auskunft dient primär dem Schutz der Datenschutzinteressen, kann aber auch helfen, Datenschutzverletzungen aufzudecken. Unternehmen müssen ihre Entscheidungen begründen, wenn sie Auskunftsersuchen ablehnen, aber eine ausführliche Begründungspflicht besteht nicht, da dies dem Zweck des Schutzes sensibler Informationen widersprechen würde. Der Betroffene muss jedoch genügend Informationen erhalten, um den Rechtsweg zu beschreiten und die Entscheidung zu überprüfen.