Ein Auskunftsersuchen erreicht Sie – und die Frist läuft

Ein Auskunftsersuchen kommt selten zu einem passenden Zeitpunkt. Es trifft als formlose E-Mail ein, meist ohne Begründung und ohne Formular, und setzt eine Frist in Gang, die nicht verhandelbar ist: Nach Artikel 12 Absatz 3 DSGVO ist unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zu antworten. Wer erst dann klärt, wer zuständig ist und in welchen Systemen die Daten liegen, verbraucht den größten Teil dieser Frist mit Organisation statt mit Inhalt.

Was ein Antrag nach Artikel 15 tatsächlich verlangt

Betroffene Personen können ohne Form und ohne Begründung Auskunft verlangen. Das Recht ist abgestuft: Zunächst geht es um die Bestätigung, ob überhaupt personenbezogene Daten verarbeitet werden. Nach Auffassung der Datenschutzkonferenz ist auch eine Negativauskunft zu erteilen, wenn keine Daten zu dieser Person vorliegen oder sie unumkehrbar anonymisiert wurden. Erst danach folgt die Auskunft über die Daten selbst.

Hinzu kommt nach Artikel 15 Absatz 3 eine Kopie der Daten. Stellt die betroffene Person ihren Antrag elektronisch, ist die Auskunft in einem gängigen elektronischen Format bereitzustellen. Erwägungsgrund 63 bezeichnet einen vom Verantwortlichen eingerichteten Fernzugriff auf die eigenen Daten als datenschutzfreundlichste Gestaltung; eine Pflicht, ein solches Portal einzurichten, folgt daraus nicht. Auf Wunsch kann die Auskunft auch mündlich erfolgen, alle Kommunikationswege müssen aber angemessene Sicherheitsanforderungen erfüllen.

Was „Kopie“ bedeutet, hat der Europäische Gerichtshof am 4. Mai 2023 in der Rechtssache C-487/21 präzisiert: Verlangt ist eine getreue und verständliche Reproduktion aller verarbeiteten personenbezogenen Daten. Auszüge aus Dokumenten oder ganze Dokumente sind herauszugeben, wenn dies unerlässlich ist, damit die betroffene Person ihre Rechte wirksam ausüben kann – der Gerichtshof verweist dabei ausdrücklich auf die Rechte Dritter, die dagegen abzuwägen sind. Ein Anspruch auf die Akte als solche folgt daraus nicht, wohl aber auf eine Darstellung, die sich ohne Zusatzwissen lesen lässt.

Die Angaben, die neben den Daten mitzuliefern sind

Der häufigste Mangel einer Antwort ist nicht die fehlende Datenkopie, sondern das Fehlen der begleitenden Angaben. Artikel 15 Absatz 1 zählt sie auf, und sie gehören vollständig in das Auskunftsschreiben.

Frist, Verlängerung und Kosten

Die Monatsfrist beginnt mit dem Eingang des Antrags, nicht mit dem Beginn der Bearbeitung. Sie kann nach Artikel 12 Absatz 3 um zwei weitere Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge dies erfordern; die betroffene Person ist darüber innerhalb des ersten Monats unter Angabe der Gründe zu informieren. Die Verlängerung ist damit keine stille Reserve, sondern selbst eine fristgebundene Handlung.

Die Auskunft ist grundsätzlich unentgeltlich zu erteilen. Für weitere Kopien darf ein angemessenes Entgelt verlangt werden, und bei offenkundig unbegründeten oder exzessiven Anträgen kommt ebenfalls ein Entgelt oder eine Ablehnung in Betracht. Die Datenschutzkonferenz weist darauf hin, dass die Beweislast für einen solchen Antrag beim Verantwortlichen liegt und dass betroffene Personen ihr Recht in angemessenen Abständen kostenfrei wahrnehmen können müssen. Ablehnungen bleiben deshalb Ausnahmefälle.

Identität prüfen, ohne neue Daten zu sammeln

Auskünfte dürfen nicht an unbefugte Dritte gelangen – gerade bei elektronischer oder mündlicher Auskunft ist das eine reale Gefahr. Artikel 12 Absatz 6 erlaubt deshalb, zusätzliche Informationen zur Bestätigung der Identität nachzufordern, setzt dafür aber begründete Zweifel voraus. Als Beispiel nennt die Datenschutzkonferenz die Nachfrage nach einer Postadresse bei einem elektronisch gestellten Antrag. Eine pauschale Anforderung von Ausweiskopien bei jedem Eingang lässt sich auf diese Vorschrift nicht stützen.

Praktisch bewährt sich eine zweistufige Regel: Stammt der Antrag aus einem bereits im System hinterlegten Kanal – der bekannten E-Mail-Adresse eines Kunden, dem Postfach eines Beschäftigten –, genügt in der Regel eine Rückbestätigung über denselben Kanal. Kommt der Antrag von einer unbekannten Adresse oder betreffen die Daten besonders sensible Bereiche, ist eine gezielte Rückfrage angebracht, die nur so viele Angaben verlangt wie für die Zuordnung nötig.

Die Grenzen des Auskunftsrechts

Artikel 15 Absatz 4 schützt die Rechte anderer Personen; Erwägungsgrund 63 nennt ausdrücklich Geschäftsgeheimnisse. Das darf nach Auffassung der Aufsichtsbehörden jedoch nicht dazu führen, dass die Auskunft insgesamt verweigert wird. Bei großen Datenmengen kann der Verantwortliche verlangen, dass die betroffene Person präzisiert, auf welche Informationen oder Verarbeitungsvorgänge sich ihr Ersuchen bezieht – eine Möglichkeit, die sich vor allem bei langjährigen Vertragsbeziehungen anbietet.

Das Bundesdatenschutzgesetz enthält in § 34 weitere Einschränkungen, insbesondere für Daten, die nur wegen gesetzlicher Aufbewahrungsvorschriften vorliegen, und für Protokollierungsdaten, sowie für nicht automatisierte Verarbeitungen, bei denen die Auskunft nur mit unverhältnismäßigem Aufwand möglich wäre. Die Datenschutzkonferenz hält allerdings fest, dass die Reichweite dieser nationalen Einschränkungen wegen des Anwendungsvorrangs der Verordnung im Einzelfall zu beurteilen bleibt. Wird eine Auskunft verweigert, sind die Gründe mitzuteilen und über Rechtsschutzmöglichkeiten zu informieren.

Fehler, die sich wiederholen

Eine typische Situation im Mittelstand ist der Antrag einer ausgeschiedenen Beschäftigten. Er betrifft Personalakte, Zeiterfassung, Lohnabrechnung, das dienstliche Postfach, Zugangsprotokolle und häufig die Kopien einzelner Unterlagen in den Postfächern von Führungskräften. Gerade hier lohnt die Vorarbeit, denn die Daten liegen verteilt, und die Antwort muss alle Beteiligten einbeziehen, ohne Daten anderer Beschäftigter mitzuliefern.

Vorbereitung, die sich einmal lohnt

Der größte Zeitgewinn liegt nicht in der Antwortvorlage, sondern in einer Datenlandkarte. Das Verzeichnis der Verarbeitungstätigkeiten liefert die Grundlage: Für jedes dort genannte System wird ergänzt, mit welchem Suchkriterium Daten zu einer Person gefunden werden – Kundennummer, Personalnummer, E-Mail-Adresse –, wer die Suche ausführen kann und ob ein Export in ein gängiges Format möglich ist. Diese Ergänzung ist eine Arbeit von Stunden und ersetzt später tagelanges Suchen.

Dazu gehören drei organisatorische Festlegungen: eine benannte Zuständigkeit mit Vertretung, eine kurze Eingangsbestätigung mit Datum des Fristbeginns und ein Protokoll, in dem festgehalten wird, welche Systeme durchsucht und welche Angaben mitgeteilt wurden. Die Datenschutzkonferenz empfiehlt ausdrücklich, organisatorische Vorkehrungen vorab zu treffen, weil Artikel 12 Absatz 1 eine zeitnahe und verständliche Auskunft verlangt und unterlassene oder unvollständige Auskünfte bußgeldbewehrt sind.

Ein Probelauf mit den eigenen Beschäftigtendaten zeigt binnen eines halben Tages, wo es klemmt: bei der Suche in Altsystemen, beim Aussondern fremder Daten oder bei der Frage, wer die Antwort freigibt. Diese Erkenntnis ist wertvoller als jede Vorlage – und sie kostet nichts als die Bereitschaft, den Fall einmal ohne Zeitdruck durchzuspielen. Für die rechtliche Bewertung eines konkreten, schwierigen Ersuchens bleibt die Datenschutzberatung zuständig.

Verwandte Themen: Wer hier weiterdenkt, liest bei Löschkonzept, DSGVO und Datenschutz-Folgenabschätzung weiter.