Was das Auskunftsrecht umfasst
Art. 15 Abs. 1 DSGVO gibt der betroffenen Person zwei Rechte. Sie kann erstens eine Bestätigung verlangen, ob Sie sie betreffende personenbezogene Daten verarbeiten. Ist das der Fall, hat sie zweitens ein Recht auf Auskunft über diese Daten und auf folgende Informationen:
- die Zwecke der Verarbeitung,
- die Kategorien der verarbeiteten Daten,
- die Empfänger oder Kategorien von Empfängern, denen Daten offengelegt wurden oder werden, besonders bei Empfängern in Drittländern,
- die geplante Speicherdauer oder, falls das nicht möglich ist, die Kriterien dafür,
- das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung und eines Widerspruchsrechts,
- das Beschwerderecht bei einer Aufsichtsbehörde,
- die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
- eine automatisierte Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen über die involvierte Logik und die Folgen.
Werden Daten in ein Drittland übermittelt, ist die Person außerdem über die geeigneten Garantien zu unterrichten (Art. 15 Abs. 2). Die Verordnung verlangt nicht, dass die Person ihren Antrag begründet, und sie schreibt für den Antrag keine bestimmte Form vor. Ein Anruf, eine E-Mail oder eine Nachricht über ein Kontaktformular kann also ein Auskunftsersuchen sein. Wichtig ist deshalb, dass Ihre Mitarbeiter es erkennen und weitergeben.
Die Frist: ein Monat, selten länger
Nach Art. 12 Abs. 3 stellen Sie der Person die Informationen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zur Verfügung. Die Frist kann um weitere zwei Monate verlängert werden, wenn das unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Dann müssen Sie die Person innerhalb des ersten Monats über die Verlängerung und die Gründe der Verzögerung informieren.
Wollen Sie dem Antrag nicht nachkommen, teilen Sie der Person ohne Verzögerung, spätestens innerhalb eines Monats, die Gründe mit und weisen auf ihr Recht hin, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4).
Die Kopie der Daten
Nach Art. 15 Abs. 3 stellen Sie „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung. Für weitere Kopien dürfen Sie ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen. Stellt die Person den Antrag elektronisch, erhält sie die Informationen in einem gängigen elektronischen Format, sofern sie nichts anderes angibt. Das Recht auf die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Abs. 4). Enthalten Unterlagen zum Beispiel Daten Dritter, müssen Sie diese Stellen deshalb prüfen und gegebenenfalls schwärzen.
Identität prüfen, aber mit Augenmaß
Haben Sie begründete Zweifel an der Identität der antragstellenden Person, dürfen Sie nach Art. 12 Abs. 6 zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind. Ohne solche Zweifel gibt es keinen Anlass für eine pauschale Ausweisabfrage. Geben Sie Auskunft nur an die Person, die sie verlangen darf. Eine Auskunft an die falsche Person wäre selbst eine Datenpanne.
Wann Sie einen Antrag ablehnen oder Entgelt verlangen dürfen
Die Auskunft ist grundsätzlich unentgeltlich (Art. 12 Abs. 5). Bei „offenkundig unbegründeten oder, insbesondere im Fall von häufiger Wiederholung, exzessiven Anträgen“ dürfen Sie entweder ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden. Den Nachweis dafür müssen Sie erbringen. Behandeln Sie diese Ausnahme deshalb zurückhaltend und dokumentieren Sie Ihre Gründe.
Ablauf in fünf Schritten
- Antrag erkennen und festhalten: Eingangsdatum notieren, Frist von einem Monat berechnen, Datenschutzbeauftragten oder zuständige Stelle informieren.
- Identität klären: nur bei begründeten Zweifeln zusätzliche Angaben anfordern.
- Daten zusammentragen: alle Systeme durchsuchen, in denen die Person vorkommen kann, also Kundenverwaltung, Buchhaltung, E-Mail-Postfächer, Personalakte, Papierunterlagen.
- Antwort erstellen: Bestätigung, Informationen nach Art. 15 Abs. 1 und 2, Kopie der Daten. Daten anderer Personen prüfen.
- Antwort versenden und dokumentieren: in verständlicher Sprache, möglichst im Format, in dem der Antrag kam, und den Vorgang samt Datum ablegen.
Typische Fehler
- Der Antrag geht im Postfach eines Mitarbeiters unter, der ihn nicht als Auskunftsersuchen erkennt.
- Es wird nur eine Übersicht geschickt statt der Kopie der Daten.
- Nicht alle Systeme werden durchsucht, zum Beispiel E-Mail-Archive oder Papierakten.
- Die Frist verstreicht, ohne dass eine Verlängerung begründet wurde.
- Es wird ohne Anlass ein Ausweis verlangt oder ein Entgelt erhoben.
- Daten anderer Personen werden ungeschwärzt herausgegeben.
Wie wir Sie unterstützen
Ein externer Datenschutzbeauftragter prüft Ihre Antwort, bevor sie das Haus verlässt, und hilft bei schwierigen Fällen. Unsere Datenschutzmanagement-Software enthält ein Modul für Anfragen betroffener Personen, das Fristen überwacht und den Vorgang dokumentiert.
