Betroffenenrechte und Auskunft

Ein Antrag muss grundsätzlich nicht begründet werden. Auch eine kurze Nachricht kann ausreichen, wenn erkennbar ist, dass eine Person wissen möchte, ob und welche sie betreffenden personenbezogenen Daten verarbeitet werden. Das Unternehmen sollte deshalb nicht nur nach dem Betreff suchen, sondern den Inhalt der Nachricht und den Eingangstag in einem zentralen Vorgang erfassen.

Für die erste Einordnung helfen vier Fragen: Wer stellt den Antrag? Welche Rolle hat die Person im Unternehmen oder im Kundenverhältnis? Welche Verarbeitungen kommen in Betracht? Und welche Stelle entscheidet über Zwecke und Mittel der Verarbeitung? Der Verantwortliche muss die Antwort organisieren. Ein Auftragsverarbeiter kann bei der Suche unterstützen, ersetzt aber nicht die Verantwortung des Auftraggebers.

Der Verantwortliche muss die Ausübung der Betroffenenrechte erleichtern. Zusätzliche Nachweise dürfen daher nicht schematisch verlangt werden. Bestehen jedoch begründete Zweifel an der Identität, können weitere Informationen angefordert werden, die zur Bestätigung erforderlich sind. Umfang und Art der Prüfung müssen zum Risiko der Verarbeitung passen.

Bei einem bestehenden Kundenkonto können bereits verifizierte Kontaktdaten oder ein sicherer Login genügen. Bei besonders sensiblen Daten oder einem Antrag von einer unbekannten Adresse kann eine zusätzliche, verhältnismäßige Bestätigung erforderlich sein. Eine pauschale Ausweiskopie für jeden Antrag ist kein Ersatz für eine risikobezogene Entscheidung. Die Prüfung und ihre Begründung gehören in die Dokumentation.

Die Antwort muss mehr leisten als die bloße Mitteilung, dass Daten gespeichert sind. Art. 15 DSGVO verlangt neben den personenbezogenen Daten insbesondere Informationen über Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger oder Empfängerkategorien, Speicherdauer oder die Kriterien dafür, die weiteren Betroffenenrechte und das Beschwerderecht bei einer Aufsichtsbehörde.

Wenn die Daten nicht direkt bei der betroffenen Person erhoben wurden, gehört auch die verfügbare Information über ihre Herkunft dazu. Bei automatisierter Entscheidungsfindung einschließlich Profiling sind die gesetzlich vorgesehenen Informationen zur involvierten Logik sowie zur Tragweite und zu den angestrebten Auswirkungen zu berücksichtigen. Bei Übermittlungen in Drittländer ist über die geeigneten Garantien zu informieren.

Die Daten müssen in einer verständlichen Form übermittelt werden. Ein unkommentierter Systemauszug kann deshalb zu kurz greifen, wenn die betroffene Person daraus weder die Verarbeitung noch die Zuordnung der Daten nachvollziehen kann. Zugleich ist nicht jeder interne Geschäftsakt als Ganzes herauszugeben. Entscheidend ist, die personenbezogenen Daten und die gesetzlich geschuldeten Informationen vollständig und nachvollziehbar bereitzustellen.

Der Verantwortliche muss über die ergriffenen Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags informieren. Die Frist kann um höchstens zwei weitere Monate verlängert werden, wenn dies wegen der Komplexität oder der Zahl der Anträge erforderlich ist. Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.

Wenn das Unternehmen nicht tätig wird, muss es dies ebenfalls spätestens innerhalb eines Monats begründen und über die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs informieren. Ein Fristenkalender mit Verantwortlichkeit, Zwischenkontrollen und dokumentiertem Versand verhindert, dass die Antwort erst kurz vor Ablauf zusammengestellt wird.

Die erste Kopie der personenbezogenen Daten ist grundsätzlich unentgeltlich. Für weitere Kopien kann unter den gesetzlichen Voraussetzungen ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden. Bei offenkundig unbegründeten oder, insbesondere bei häufiger Wiederholung, exzessiven Anträgen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Das Unternehmen muss die Voraussetzungen dafür nachvollziehbar belegen können.

Bei einem elektronisch gestellten Antrag sind die Informationen nach Möglichkeit elektronisch bereitzustellen, sofern die betroffene Person nichts anderes angibt. Die Auskunft kann außerdem begrenzt sein, wenn Rechte und Freiheiten anderer Personen, Geschäfts- oder Betriebsgeheimnisse oder besondere gesetzliche Schutzvorschriften betroffen sind. Solche Grenzen sind konkret zu prüfen. Eine pauschale Verweigerung der gesamten Auskunft ersetzt keine Abwägung und die verbleibenden Informationen sind weiterhin bereitzustellen.

Eine gute Antwort entsteht meist vor dem eigentlichen Schreiben. Unternehmen sollten festlegen, wer Anträge entgegennimmt, welche Systeme und Dienstleister abgefragt werden, wer die Ergebnisse bewertet und wer die endgültige Antwort freigibt. Die interne Suche sollte nachvollziehbar bleiben, ohne mehr personenbezogene Daten zu sammeln als für die Bearbeitung erforderlich.

In den Vorgang gehören zumindest der Eingang und die Fristberechnung, die Identitätsprüfung, die abgefragten Systeme und Verantwortlichen, die gefundenen Datenkategorien, die Prüfung von Empfängern und Speicherdauer, allfällige Schwärzungen oder Einschränkungen, eine Fristverlängerung mit Begründung und der Versand der Antwort. Für die einzelnen Arbeitsschritte können Sie die Checkliste zum Auskunftsbegehren verwenden. Bei unklaren Rollen hilft der Rollen-Check. Die organisatorische Einbettung lässt sich mit dem Schwerpunkt Compliance und Datenschutz-Governance vertiefen.