Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten

„Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“ Solche Schreiben erreichen Unternehmen immer häufiger: von Kunden, von Bewerbern und besonders oft von ehemaligen Beschäftigten im Zusammenhang mit einem Kündigungsstreit. Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wichtigsten Betroffenenrechte. Wer es ignoriert oder unvollständig erfüllt, riskiert Beschwerden bei der Aufsichtsbehörde, Bußgelder und Klagen. Der folgende Ablauf hat sich in der Praxis bewährt.

Schritt 1: Anfrage erkennen und Frist notieren

Ein Auskunftsersuchen ist an keine Form gebunden. Es kann per E-Mail, Brief, Telefon oder über soziale Medien eingehen und muss das Wort „DSGVO“ nicht enthalten. Beschäftigte am Empfang, im Kundenservice und in der Personalabteilung sollten solche Anfragen erkennen und sofort weiterleiten. Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats zu erteilen (Art. 12 Abs. 3 DSGVO). Nur bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Das muss der betroffenen Person innerhalb des ersten Monats mitgeteilt und begründet werden.

Schritt 2: Identität prüfen

Sie dürfen Auskünfte nur an die berechtigte Person erteilen. Bestehen begründete Zweifel an der Identität, können Sie zusätzliche Informationen anfordern. Die Anforderungen müssen aber verhältnismäßig sein: Wer mit einem Kunden ohnehin über eine bekannte E-Mail-Adresse kommuniziert, kann in der Regel keine Ausweiskopie verlangen.

Schritt 3: Daten zusammentragen

Durchsuchen Sie alle relevanten Systeme: CRM, Buchhaltung, E-Mail-Postfächer, Personalakte, Ticketsysteme, Newsletter-Tool, Papierakten und Backups. Hier zahlt sich ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten aus, denn es zeigt, wo welche Daten verarbeitet werden.

Schritt 4: Inhalt der Auskunft

Die Auskunft umfasst zunächst die Bestätigung, ob überhaupt Daten verarbeitet werden. Falls ja, sind nach Art. 15 Abs. 1 DSGVO insbesondere mitzuteilen:

• die Verarbeitungszwecke und die Kategorien der Daten,
• die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern,
• die geplante Speicherdauer oder die Kriterien für ihre Festlegung,
• die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei einer Aufsichtsbehörde,
• die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
• gegebenenfalls das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling.

Zusätzlich ist nach Art. 15 Abs. 3 DSGVO eine Kopie der Daten zur Verfügung zu stellen. Wie weit dieser Anspruch reicht, ist in der Rechtsprechung noch umstritten. Wer die Kopie gerichtlich durchsetzen will, muss jedenfalls einen hinreichend bestimmten Antrag stellen; pauschale Forderungen nach „allen E-Mails“ können daran scheitern.

Schritt 5: Rechte Dritter beachten

Die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Namen von Kollegen, Geschäftsgeheimnisse oder Daten anderer Kunden sind daher gegebenenfalls zu schwärzen. Eine vollständige Verweigerung der Auskunft lässt sich damit aber in der Regel nicht begründen.

Schritt 6: Sicher übermitteln und dokumentieren

Die erste Kopie ist unentgeltlich. Übermitteln Sie die Auskunft auf sicherem Weg, etwa verschlüsselt oder per Post. Eine versehentliche Übermittlung an die falsche Person wäre selbst eine Datenpanne; was dann zu tun ist, beschreibt unser Leitfaden zur 72-Stunden-Meldung. Dokumentieren Sie Eingang, Bearbeitung und Versand der Auskunft.

Was droht bei Fehlern?

Eine verspätete oder unvollständige Auskunft kann zu Beschwerden bei der Aufsichtsbehörde und zu Bußgeldern führen. Zudem können Betroffene ihren Anspruch gerichtlich durchsetzen. Wie Gerichte den Streitwert solcher Verfahren bemessen, haben wir im Beitrag zum Streitwert eines Auskunftsanspruchs beschrieben.

Gerade im Arbeitsrechtsstreit lohnt sich eine sorgfältige Prüfung, bevor die Auskunft das Haus verlässt. Liegt Ihnen ein Ersuchen vor und läuft die Frist bereits, unterstützen wir Sie bei der Beantwortung. Nehmen Sie Kontakt auf oder buchen Sie kurzfristig einen Termin.