Auskunftsanfrage nach Art. 15 DSGVO

Die Auskunftsanfrage nach Art. 15 DSGVO ist der häufigste Anspruch, der in Unternehmen eingeht – und der am zuverlässigsten falsch behandelte. Nicht, weil die Vorschrift schwer zu lesen wäre, sondern weil die Frist zu laufen beginnt, bevor irgendjemand im Haus die Zuständigkeit geklärt hat.

Die Frist läuft ab Eingang

Ein Monat, gerechnet ab dem Eingang beim Verantwortlichen – nicht ab dem Tag, an dem die richtige Abteilung davon erfährt. Bei komplexen oder zahlreichen Anträgen kann um zwei Monate verlängert werden; die Verlängerung ist der antragstellenden Person innerhalb des ersten Monats mitzuteilen, samt Begründung. Wer die Verlängerung erst am 35. Tag mitteilt, hat die Frist versäumt.

Formvorgaben gibt es nicht. Eine Anfrage kann per E-Mail kommen, per Brief, über ein Kontaktformular, in einem Telefonat oder eingebettet in eine Beschwerde. Sie muss das Wort „Auskunft” nicht enthalten und sich nicht auf Art. 15 berufen. Auch die Nachricht „Schicken Sie mir bitte alles, was Sie über mich gespeichert haben” ist ein Antrag.

Genau daraus entsteht das organisatorische Problem: Die Anfrage landet im Vertriebspostfach, im Support-Ticket oder beim Empfang. Wer keinen Meldeweg eingerichtet hat, verliert die Hälfte der Frist mit der Zuständigkeitsfrage. Die interne Gegenstelle dafür ist typischerweise der Datenschutzkoordinator.

Was herauszugeben ist

Der Anspruch hat zwei Teile, die auseinandergehalten werden müssen.

Die Auskunft über die Umstände – Verarbeitungszwecke, Kategorien der Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Herkunft der Daten, Bestehen automatisierter Entscheidungsfindung und die Rechte der betroffenen Person.

Die Kopie der Daten nach Art. 15 Abs. 3 – also die Daten selbst. Der Europäische Gerichtshof hat klargestellt, dass „Kopie” eine originalgetreue und verständliche Reproduktion verlangt und dass die Übermittlung ganzer Dokumente oder Auszüge nötig sein kann, wenn die Daten sonst nicht nachvollziehbar sind.

Zwei Punkte, die regelmäßig übersehen werden:

Empfänger sind auf Verlangen namentlich zu benennen. Wer nach den Empfängern fragt, hat Anspruch auf die konkreten Namen – die Angabe von Kategorien genügt nur, wenn eine Benennung nicht möglich ist.

Die Speicherdauer ist konkret anzugeben. „Solange erforderlich” ist keine Antwort. Wer sie nicht nennen kann, hat kein Auskunftsproblem, sondern ein fehlendes Löschkonzept.

Wo die Daten liegen

Die eigentliche Arbeit ist nicht das Schreiben, sondern das Suchen. Erfasst sind alle Systeme: CRM, Warenwirtschaft, Buchhaltung, Ticketsystem, Newsletter-Verteiler, Bewerbermanagement, Zutrittsprotokolle, Telefonanlage, Backups und – häufig vergessen – E-Mail-Postfächer einzelner Beschäftigter.

Wer ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten hat, arbeitet es ab. Wer keines hat, sucht. Das ist der Grund, warum eine Auskunftsanfrage in manchen Unternehmen zwei Stunden und in anderen zwei Wochen kostet.

Wann Sie zurückhalten dürfen

Rechte anderer Personen. Art. 15 Abs. 4 begrenzt das Recht auf Erhalt einer Kopie, wenn dadurch Rechte Dritter beeinträchtigt würden. Das führt nicht zur Verweigerung insgesamt, sondern zur Schwärzung der betreffenden Stellen.

Ausnahmen des BDSG. § 34 BDSG kennt Einschränkungen, etwa bei Daten, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind und deren Auskunft unverhältnismäßigen Aufwand erfordern würde.

Offenkundig unbegründete oder exzessive Anträge. Art. 12 Abs. 5 erlaubt dann ein angemessenes Entgelt oder die Weigerung. Die Hürde ist hoch, und die Beweislast liegt bei Ihnen. Die zweite Anfrage derselben Person innerhalb eines Jahres ist für sich genommen noch nicht exzessiv.

Nicht zulässig ist es, die Auskunft von der Angabe eines Grundes abhängig zu machen. Ein Motiv muss niemand nennen – auch dann nicht, wenn erkennbar ein arbeitsrechtlicher Streit dahintersteht.

Die Identität prüfen – aber richtig

Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen zur Identitätsfeststellung verlangen. Zweifel sind begründet, wenn die Anfrage von einer unbekannten Adresse kommt; sie sind es nicht, wenn sie aus dem hinterlegten Kundenkonto stammt.

Die Kopie des Personalausweises pauschal zu verlangen, ist unverhältnismäßig – und schafft ein neues Datenschutzproblem. Der mildere Weg ist die Rückfrage über einen bereits bekannten Kanal.

Was Fehler kosten

Neben dem Bußgeldrisiko nach Art. 83 DSGVO steht der Schadensersatz nach Art. 82 DSGVO. Die verspätete oder unvollständige Auskunft ist der am leichtesten zu belegende Verstoß überhaupt – das Datum des Antrags und das Datum der Antwort genügen als Nachweis.

Wie sich der Prozess sauber aufsetzen lässt, steht unter Betroffenenrechte; der Wortlaut der Norm unter Art. 15 DSGVO.

Kontakt

Bei Ihnen liegt eine Anfrage und die Frist läuft? Melden Sie sich – für den Ablauf reicht meist ein Telefonat.