Auskunftsersuchen bearbeiten: Frist, Umfang, Datenquellen

Ein Auskunftsersuchen ist formlos. Es braucht kein Formular, keinen Betreff, keine Rechtsgrundlage im Text und keine besondere Höflichkeit. Es kann als Antwort in einem laufenden E-Mail-Verlauf stehen, als Nebensatz in einer Beschwerde, als Anhang zu einer Kündigung oder als Nachricht über ein Kontaktformular. Damit ist die erste organisatorische Frage keine Rechtsfrage, sondern eine Postfachfrage: Wer liest die eingehenden Kanäle so, dass ein solcher Satz erkannt und mit Datum festgehalten wird? In einem geteilten Postfach ohne Zuständigkeit bleibt so etwas erfahrungsgemäß tagelang ungelesen, weil jeder annimmt, jemand anderes habe es schon gesehen. Wie sich aus einem Sammelpostfach ein Vorgang mit Eingangsdatum und Verantwortung machen lässt, ist in Vom Sammelpostfach zum nachvollziehbaren Vorgang beschrieben.

Der zweite Punkt ist die Herkunft der Anfrage. Auskunftsersuchen kommen nicht nur von Kunden. Sie kommen von ehemaligen Beschäftigten, von Bewerbern, von Interessenten, die vor drei Jahren einmal eine Anfrage gestellt haben, von Empfängern eines Rundschreibens und gelegentlich von Personen, mit denen der Betrieb nur über einen Dritten in Berührung kam. Anträge aus dem Beschäftigungsverhältnis sind dabei der Fall mit der größten Datenstreuung, weil dort Personalakte, Zeiterfassung, Zugangsverwaltung und Fachsoftware zusammenkommen. Welche Bestandteile eine digitale Personalakte hat und wer worauf zugreifen darf, behandelt der Beitrag Digitale Personalakte: Zugriff und Fristen.

Der dritte Punkt ist die Erwartung an den Betrieb selbst. Ein Auskunftsersuchen prüft in der Praxis weniger die Rechtskenntnis als die Ordnung: Wer sein Verzeichnis von Verarbeitungstätigkeiten gepflegt hat, hat den größten Teil des Suchrasters bereits geschrieben, weil dort Systeme, Zwecke, Kategorien, Empfänger und Fristen schon stehen. Wer es über den ersten Entwurf hinaus nicht geführt hat, beginnt beim Antrag von vorn. Die Grundlagen dazu stehen in DSGVO bei der Prozessdigitalisierung; dieser Beitrag setzt eine Ebene tiefer an und fragt, wie aus dem Verzeichnis eine durchsuchbare Liste wird.

Der Umfang ist der Punkt, an dem die meisten Antworten zu kurz ausfallen. Die betroffene Person hat das Recht, eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf eine Reihe weiterer Informationen (Datenschutz-Grundverordnung). Die Auskunft besteht damit aus drei Teilen, die getrennt zu liefern sind: der Bestätigung, den acht benannten Angaben und der Kopie der Daten selbst. Eine Antwort, die nur einen Datenexport anhängt, lässt zwei Drittel weg.

Die acht Angaben sind im Gesetz aufgezählt und lassen sich zum größten Teil einmal vorformulieren, weil sie nicht vom einzelnen Antrag abhängen, sondern von den Verarbeitungen des Betriebs. Genau darin liegt der Hebel: Wer sie einmal je Verarbeitungstätigkeit sauber aufschreibt, beantwortet damit den wiederkehrenden Teil jedes künftigen Antrags im Voraus. Übrig bleibt der individuelle Teil, also die Suche nach den Daten dieser einen Person.

Dazu kommt die Kopie: Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind; für alle weiteren Kopien kann er ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen (Datenschutz-Grundverordnung). Die Kopie ist kein Rohdatenauszug aus der Datenbank, sondern eine verständliche Wiedergabe dessen, was über die Person gespeichert ist. Wo die Speicherdauer genannt werden muss, hilft ein gepflegtes Löschkonzept mehr als jede Formulierung: Die Fristen stehen dann bereits fest und müssen nicht je Antrag neu hergeleitet werden. Wie sich solche Fristen technisch abbilden lassen, steht in Aufbewahrungsfristen digital: Fristen und Löschläufe.

Die Identitätsprüfung ist der Punkt, an dem zwei Fehler nahe beieinander liegen. Der eine ist, ungeprüft zu antworten und damit personenbezogene Daten an eine unberechtigte Person zu geben. Der andere ist, so viel zu verlangen, dass die Prüfung selbst zur Hürde wird. Die Regel dazu ist knapp: Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind (Datenschutz-Grundverordnung). Zwei Wörter tragen den Satz - "begründete" Zweifel und "erforderlich". Eine Ausweiskopie pauschal von jedem zu verlangen, erfüllt in der Regel keines von beiden.

Praktisch trägt eine Abstufung. Kommt der Antrag aus einem Kanal, der bereits an die Person gebunden ist - dem hinterlegten Kundenkonto, der bekannten E-Mail-Adresse aus dem laufenden Vertrag, dem Postweg an die Vertragsanschrift -, ist der Zweifel meist gering. Kommt er von einer unbekannten Adresse und betrifft eine sensible Datenlage, ist eine Rückfrage über einen zweiten, bereits bekannten Kanal in der Regel das mildere Mittel als eine Ausweiskopie. Wenn ein Ausweis wirklich benötigt wird, gehören die nicht benötigten Felder geschwärzt, und die Kopie wird nach der Prüfung gelöscht. Zur Frage, wann eine Unterschrift welche Form braucht und wann ein einfacher elektronischer Nachweis genügt, siehe Elektronische Signatur: welche Form wann gilt.

Ein Sonderfall verdient Beachtung: Verarbeitet ein Verantwortlicher Daten zu Zwecken, für die er die betroffene Person nicht oder nicht mehr identifizieren muss, und weist er nach, dass er sie nicht identifizieren kann, so unterrichtet er sie darüber, soweit das möglich ist; die Artikel 15 bis 20 finden dann keine Anwendung, es sei denn, die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen (Datenschutz-Grundverordnung). Das ist keine Ausrede für schlecht gepflegte Daten, sondern eine Regel für Bestände, die bewusst ohne Personenbezug geführt werden. Wo die Zuordnung dagegen an Dubletten und uneinheitlichen Schreibweisen scheitert, liegt der Fehler in den Stammdaten - dazu Stammdaten in Ordnung bringen.

Das Recht auf Kopie hat eine ausdrückliche Grenze: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Datenschutz-Grundverordnung). In der Praxis betrifft das vor allem Kommunikation. Ein E-Mail-Verlauf enthält Namen und Aussagen von Kolleginnen, Kollegen und Dritten; eine Gesprächsnotiz nennt Beteiligte; eine Beschwerde enthält die Sicht einer anderen Person. Die Lösung ist nicht, den Bestand wegzulassen, sondern ihn zu bearbeiten: Daten Dritter werden geschwärzt, der Rest wird herausgegeben, und die Schwärzung wird begründet. Ein pauschales Weglassen ganzer Bestände mit Verweis auf Rechte Dritter hält einer Prüfung erfahrungsgemäß nicht stand.

Für sehr große Datenbestände gibt es eine zweite, oft übersehene Möglichkeit. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt (Datenschutz-Grundverordnung). Das ist eine Rückfrage, keine Ablehnung: Sie ersetzt die Auskunft nicht, wenn die Person auf dem vollen Umfang besteht. Nach den Leitlinien des Europäischen Datenschutzausschusses kann die Frist bis zum Eingang der Präzisierung gehemmt sein, sofern die Rückfrage ohne unangemessene Verzögerung gestellt wird und die Voraussetzungen des Erwägungsgrunds 63 vorliegen (Europäischer Datenschutzausschuss). Als höfliche, konkrete Nachfrage nach dem gewünschten Zeitraum oder Vorgang spart sie beiden Seiten Arbeit.

Diese sechs Punkte sind zugleich die Gliederung des Protokolls im Antwortpaket. Sie sind bewusst schlank gehalten, weil ein Protokoll, das mehr verlangt, in der Praxis unausgefüllt bleibt. Wer diese Struktur einmal in die eigene Ablage übernimmt und dort ablegt, wo auch die übrigen Nachweise liegen, hat den Vorgang abgeschlossen - dazu passt der Zuschnitt aus der Prozessdokumentation, weil dieselben Angaben dort ohnehin gefordert sind.