Liebe Leserinnen und liebe Leser,

nach der EU-Datenschutz-Grundverordnung haben alle Betroffenen, also diejenigen, deren personenbezogene Daten Sie verarbeiten, mehrere Rechte. Die Rechte der Betroffenen sind in Kapitel 2 der DSGVO, den Artikel 12-22 DSGVO, festgelegt. Eines davon ist das Recht auf Auskunft nach Art. 15 DSGVO. Es beschreibt – grob beschrieben – dass jeder Betroffene das Recht hat, Auskunft über die personenbezogenen Daten zu verlangen, die Sie über ihn verarbeiten.

Grob gesagt darf eine betroffene Person zu jeder Zeit, auf jeden eröffneten Kontaktweg und in jeder Form auf Sie zukommen darf und das Recht auf Auskunft einfordern kann. Der Begriff „eine betroffene Person“ ist dabei sehr weit ausgelegt. Denn auch Personen, von denen Sie noch nie etwas gehört haben, dürfen Auskunft darüber verlangen, ob Sie Daten von ihr verarbeiten. Wenn Sie keine Daten von dieser Person verarbeiten, müssen sie eine negative Auskunft erteilen.

Bevor Sie jedoch Datenauskünfte erteilen, sollten Sie die Identität der Person klären, die mit einer Auskunftsanfrage auf Sie zukommt. Unkritisch wäre beispielsweise eine postalische Auskunftsanfrage, bei der die Unterschrift der betroffenen Person mit der bei Ihnen hinterlegten Unterschrift übereinstimmt und die Antwort der Auskunftsanfrage an die Ihnen bekannte, aktuelle Anschrift der betroffenen Person versandt werden soll. Bei einer Auskunftsanfrage per E-Mail über eine Ihnen nicht bekannte E-Mailadresse ist es wichtig über die Identität der anfragenden Person absolute Klarheit zu haben. Selbst sogenannte Negativauskünfte wären kritisch, wenn Sie die Identität der anfragenden Person nicht zweifelsfrei geklärt haben.

Eine andere Art von Auskunftsanfragen sind diejenigen, welche Sie über darauf spezialisierte Dienstleister erhalten. Zu nennen sind dort beispielhaft die Angebote von Saymine oder datenanfragen.de. Diese darüber erzeugte Anfragen zeichnen sich dadurch aus, dass die betroffene Person eher unspezifisch auf eine Vielzahl von Verantwortlichen zugeht und eine Auskunftsanfrage platziert. Hier ist es geboten und sinnvoll, eine zweistufige Auskunft zu erteilen.

Eine zweistufige Auskunft bedeutet, dass Sie erst eine Auskunft darüber erteilen können, ob Sie überhaupt personenbezogene Daten der betroffenen Person verarbeiten. Diese Information können Sie anreichern mit Stammdaten der betroffenen Person. Falls Sie eine Vielzahl von Daten verarbeiten, welche Sie über die betroffene Person verarbeiten, können Sie die anfragende Person mit der ersten Antwort fragen, zu welchem Teilbereich sie Auskunft über weitere Daten erhalten möchte. Erst nach einer konkretisierenden Antwort stellen Sie dem Betroffenen dann die entsprechenden Daten zur Verfügung.

Neben dem Inhalt der Antwort auf die Auskunftsanfrage sollten Sie auf jeden Fall auf die Frist zur Beantwortung einer Auskunftsanfrage achten. Sie müssen zu jeder an Sie gestellten Auskunftsanfrage innerhalb eines Monats eine qualifizierte Antwort geben. Das klassische Einwurfeinschreiben hat sich in diesem Zusammenhang auch bewährt, um den fristgerechten Zugang der Auskunftsanfrage nachweisen zu können. Apropos Nachweis: Auch Auskunftsanfragen sollten Sie intern dokumentieren und solange aufbewahren, wie Ihnen Schadenersatzpflichten entstehen können, falls Sie die fristgerechte Auskunftsanfrage nicht nachweisen können.

Negativ ausgedrückt „in Mode“ gekommen sind Auskunftsanfragen von Bewerbern nach Ablehnungen oder Fachanwälten für Arbeitsrecht im Rahmen von Kündigungsschutzklagen. Flankiert werden könnten diese Auskunftsanfragen durch Anfragen von Landesdatenschutzbehörden, die bei Ihnen die Einhaltung datenschutzrechtlicher Anforderungen bei entsprechend gleichen Verarbeitungstätigkeiten prüfen. Deswegen achten Sie bitte insbesondere bei diesen Betroffenenkreisen auf eine compliance-gerechte Verarbeitung ihrer personenbezogenen Daten.

Zusammenfassend achten Sie bitte bei jeder Gelegenheit darauf, dass Ihnen Auskunftsanfragen von betroffenen Personen nicht „durch die Lappen“ gehen. Teilweise werden diese nur als Halbsatz beschrieben, um die Verfristung der Antwort herbeizuschwören. Leiten Sie die Auskunftsanfragen immer an die internen Ansprechpartner weiter. Dies kann ein Datenschutzkoordinator oder ein Datenschutzbeauftragter sein. Sitzen Sie auf keinen Fall diese Art von Anfragen aus, denn Sie müssen inhaltsgerecht und qualifiziert antworten.

Abschließend möchte ich noch darauf hinweisen, dass zu dem Recht aus Auskunft nicht nur die DSGVO zu beachten ist. Denn in der jüngsten Vergangenheit wurde das Recht auf Auskunft in verschiedenen Gerichtsverfahren, z. B. vor dem Europäischen Gerichtshof, thematisiert. Geurteilt wurde dabei zu den Fragen nach dem Inhalt und der Form einer Datenkopie oder den Grenzen des Rechtsmissbrauch durch eine Auskunftsanfrage. Scheuen Sie also nicht Ihren Datenschutzbeauftragten nach der aktuellen Rechtslage zu fragen, wenn Betroffene mit Auskunftsanfragen an Sie herantreten.

Viele Grüße aus der Kaiserstadt Aachen

Ingo Goblirsch

Ingo Goblirsch LL.M.
Externer Datenschutzbeauftragter
Datenschutz | Compliance | Informationssicherheit
52076 Aachen

Foto von Thea auf Unsplash. Vielen Dank!