Bis wann, wie und in welcher Reihenfolge? – FAQ zu Auskunftsersuchen

Auf Ihrem (digitalen) Schreibtisch liegt ein Auskunftsersuchen. Wie war das nochmal? Bis wann muss es beantwortet sein? Wie können Sie sichergehen, dass es sich tatsächlich um die Betroffenen handelt? Und was machen Sie jetzt am besten in welcher Reihenfolge?

Das Auskunftsrecht (Art. 15 DSGVO) ist ein zentrales Betroffenenrecht. Gerade für Organisationen, die nicht regelmäßig mit Betroffenenanfragen konfrontiert sind, kann die vollständige Beantwortung von Auskunftsersuchen allerdings schnell zur Herausforderung werden. Werden derartige Ersuche nicht entsprechend und fristgerecht bearbeitet, können die Folgen von Beschwerden bei den Aufsichtsbehörden bis hin zu Klagen reichen.

Wie also funktioniert die Bearbeitung von Auskunftsersuchen? Wir haben die wichtigsten Fragen rund um Fristen, Authentifizierungsverfahren, den idealen Ablauf und Möglichkeiten zur Vorbereitung für Sie beantwortet.  

Für die Beantwortung von Auskunftsersuchen haben Sie regulär eine Frist von einem Monat. Dieser beginnt bei Eingang. Je nach Komplexität und Menge der Daten sollten Verantwortliche sofort handeln, um die Frist einhalten zu können.

Ist absehbar, dass Sie Auskunftsersuchen nicht innerhalb des Monats bearbeiten können, müssen Sie die Betroffenen informieren und eine Begründung vorlegen. Dann können Sie die Frist um maximal zwei Monate verlängern. Mögliche Gründe können eine hohe Anzahl von eingegangen Betroffenenanfragen oder die hohe Komplexität des spezifischen Auskunftsersuchens sein. 

Sie sind verpflichtet, die Wahrnehmung der Betroffenenrechte so einfach wie möglich zu gestalten. Gleichzeitig müssen Sie aber auch sicherstellen, dass wirklich die jeweiligen Betroffenen das Auskunftsersuchen gestellt haben. Verschicken Sie Daten an die falsche Person, handelt es sich um einen ggf. meldepflichtigen Vorfall mit zum Teil erheblichen Konsequenzen für die Betroffenen – je nachdem, um welche Daten es sich handelt und wie sensibel diese sind.

In diesem Minenfeld ist es nicht immer einfach, die geeignete Authentifizierung zu finden. Die gute Nachricht zuerst: Sie müssen und dürfen nicht bei jedem Auskunftsersuchen routinemäßig eine Authentifizierung verlangen. Das ist nur nötig und vorgeschrieben, wenn berechtigte Zweifel an der Identität der anfragenden Person bestehen. Das kann z. B. der Fall sein, wenn sich Betroffene auf einmal von einer unbekannten Post- oder E-Mail-Adresse an Sie wenden. Dann müssen Sie ein Authentifizierungsverfahren einleiten.

Geht ein Auskunftsersuchen in Ihrer Organisation ein, gibt es bestimmte Schritte, die bei der Bearbeitung typischerweise durchlaufen werden. Wie genau diese Schritte aussehen, hängt natürlich immer vom Einzelfall ab. Klassischerweise strukturiert sich der Ablauf aber in die folgenden fünf Punkte:

1. Eingang des Auskunftsersuchens

Ein Auskunftsersuchen geht in Ihrer Organisation ein – das kann postalisch, telefonisch, per E-Mail oder über die Homepage sein. Der erste Schritt ist, sicherzustellen, dass das Ersuchen auch bei den verantwortlichen Mitarbeitenden bzw. im Datenschutzteam landet. Die Mitarbeitenden, bei denen Auskunftsersuchen eingehen, sollten diese entsprechend weiterleiten. Aus Höflichkeit und Transparenz können Sie den Betroffenen zudem eine Eingangsbestätigung schicken; das ist allerdings keine Pflicht.

2. Identitätsprüfung

Im nächsten Schritt überprüfen Sie, ob es sich bei den anfragenden Personen auch tatsächlich um die Betroffenen handelt. Dafür vergleichen Sie – je nachdem, über welchen Weg das Ersuchen eingegangen ist – die Post- oder E-Mail-Adressen mit den im CRM hinterlegten Stammdaten. Stimmen diese nicht überein und sollten Sie Zweifel an der Identität der Anfragenden haben, leiten Sie ein Authentifizierungsverfahren auf Basis der zu erwartenden Risiken ein (s. o.).

3. Bearbeitung

Bevor Sie die Daten der Betroffenen zusammensuchen, kann es sich anbieten, diese um eine Präzisierung ihres Ersuchens zu bitten. Sind nur bestimmte Informationen oder Zeiträume relevant? So können Sie konkret auf die Wünsche der Betroffenen eingehen und sparen sich potentiell, unnötig viele Daten mühsam zusammenzusuchen.

Für eine erfolgreiche Bearbeitung des Auskunftsersuchens ist es unerlässlich, zunächst mit den verschiedenen Fachbereichen zu kommunizieren und ins CRM zu schauen, um herauszufinden, wo überall Daten der Betroffenen verarbeitet werden. Wenn Sie im nächsten Schritt in Ihr Verzeichnis der Verarbeitungstätigkeiten (VVT) schauen, können Sie sich direkt auf die betroffenen Bereiche konzentrieren. Hieraus sollten Sie Verarbeitungszwecke, Kategorien von Daten, Empfänger:innen, falls möglich Speicherdauer, Herkunft der Daten und mögliches Profiling etc. ablesen können. All diese Daten müssen Sie den Betroffenen zur Verfügung stellen. So können Sie alle benötigen Informationen zusammentragen.

4. Beantwortung

Wenn Sie alle Informationen und ggf. Kopien der Daten gesammelt haben, senden Sie diese den Betroffenen zu. Dabei müssen Sie auf einen angemessenen Übertragungsweg achten, der ein ausreichendes Sicherheitsniveau je nach Sensibilität der zu übertragenden Daten bietet. Außerdem sollte die Beantwortung auf dem gleichen Wege erfolgen wie das Ersuchen bei Ihnen eingegangen ist. Beachten Sie zudem die Frist und dass die Beantwortung in einfacher Sprache erfolgen sollte.

5. Abschluss des Verfahrens

Mit der Beantwortung des Auskunftsersuchens sind Sie noch nicht ganz fertig. Sie sollten zum Abschluss den Vorgang genau dokumentieren und zudem die Speicherfrist festlegen. Dann können Sie das Verfahren schließen.