Auskunftsverlangen erkennen ist der erste Teil unserer Beitragsreihe zum Thema Auskunftsersuchen. Hier geht es zur Einführung.
Wer an ein Auskunftsverlangen nach der Datenschutz-Grundverordnung denkt, hat oft ein formelles Anwaltsschreiben im Kopf, mit Paragrafenverweisen, Fristen und klarer Rechtsgrundlage. Die Realität sieht anders aus. Ein Auskunftsverlangen kann aus einem einzigen Satz bestehen, mündlich geäußert werden oder in einer E-Mail versteckt sein, die eigentlich ein ganz anderes Anliegen verfolgt. Genau darin liegt die erste und oft unterschätzte Herausforderung für Unternehmen: ein Auskunftsverlangen überhaupt zu erkennen.
In diesem ersten Teil unserer Beitragsreihe zeigen wir, warum das Erkennen so anspruchsvoll ist, welche Formen ein solches Verlangen annehmen kann und was Organisationen tun sollten, um vorbereitet zu sein.
Das sagt unsere Datenschützerin Frau Wiemer:
Ein Auskunftsverlangen braucht keine Paragrafen
Wenn in der Compliance-Abteilung ein Schreiben eingeht, das sauber formuliert ist und auf Artikel 15 DSGVO oder die entsprechende Vorschrift im Datenschutzgesetz der EKD verweist, dann ist das Erkennen keine große Hürde. Solche Fälle sind vergleichsweise einfach zuzuordnen.
Der Alltag sieht jedoch anders aus. Viel häufiger kommt es vor, dass eine betroffene Person ihr Anliegen nicht juristisch einordnet. Sie schreibt eine E-Mail, formuliert eine Beschwerde oder äußert nebenbei den Wunsch zu erfahren, welche Daten über sie gespeichert sind. Vielleicht geschieht das in einer Beratungsstelle, in einer Arztpraxis, an einem Empfangstresen oder telefonisch im Kundenservice. Also an Orten, an denen Datenschutz nicht der erste Gedanke bei der täglichen Arbeit ist.
Und genau hier wird es kritisch: Solche Anfragen werden dann als Beschwerde, als Nachfrage oder als allgemeine Bitte bearbeitet. Der datenschutzrechtliche Kern – nämlich das Auskunftsverlangen – bleibt unerkannt.
Es gelten keine Formvorschriften
Viele Unternehmen sind überrascht, wenn sie erfahren, wie wenig eine betroffene Person tun muss, damit ein rechtsgültiges Auskunftsverlangen vorliegt. Die wesentlichen Punkte im Überblick:
Es müssen keine konkreten Paragrafen oder Gesetzesartikel genannt werden. Es müssen nicht einmal die richtigen Gesetze zitiert werden, denn selbst falsche Bezüge ändern nichts an der Gültigkeit des Verlangens. Die betroffene Person muss keinen Zeitraum benennen, innerhalb dessen das Unternehmen reagieren soll. Es muss nicht explizit gefordert werden, Kopien oder Abschriften der eigenen Daten zu erhalten. Es reicht vollkommen aus, wenn sinngemäß zum Ausdruck kommt, dass jemand wissen möchte, welche personenbezogenen Daten ein Unternehmen über ihn oder sie verarbeitet.
Anders formuliert: Ein Unternehmen kann nicht verlangen, dass eine betroffene Person, ob Kunde, Klientin, Mitarbeiter oder Beschäftigte, erst Jura studiert, um ihren Persönlichkeitsrechten Ausdruck verleihen zu können. Das Recht auf Auskunft ist ein Grundrecht, und es ist niedrigschwellig ausgestaltet.
Die verschiedenen Gesichter eines Auskunftsverlangens
In der Praxis begegnet Ihnen ein Auskunftsverlangen in den unterschiedlichsten Formen. Einige Beispiele:
- Ein einzelner Satz in einer längeren E-Mail, die eigentlich ein anderes Anliegen betrifft.
- Ein Brief, in dem nebenbei erwähnt wird, man wolle wissen, was über die eigene Person gespeichert ist.
- Ein Schreiben einer Anwaltskanzlei, das neben anderen Forderungen auch eine Auskunft verlangt.
- Eine mündliche Äußerung am Telefon oder vor Ort in einer Einrichtung.
All diese Varianten können ein rechtswirksames Auskunftsverlangen darstellen. Es kommt nicht auf die Form an, sondern auf den Inhalt, und dieser kann zwischen den Zeilen stehen.
Warum Schulung und Sensibilisierung entscheidend sind
Wenn Ihr Unternehmen ein Auskunftsverlangen nicht als solches erkennt, kann es die gesetzlichen Fristen nicht einhalten. Das allein kann bereits aufsichtsrechtliche Konsequenzen nach sich ziehen. Deshalb ist es so wichtig, dass die Belegschaft sensibilisiert ist.
Selbstverständlich muss nicht jede einzelne Mitarbeiterin und jeder einzelne Mitarbeiter im Unternehmen wissen, wie ein Auskunftsverlangen vollständig abgearbeitet wird. Aber es als Auskunftsverlangen erkennen sollten es alle, vom Empfang über den Kundenservice bis hin zur Fachabteilung. Wer sich unsicher ist, sollte wissen, an wen die Anfrage weiterzuleiten ist: in der Regel an den Datenschutzbeauftragten oder die zuständige Compliance-Stelle.
Regelmäßige Datenschutzschulungen sind dabei das wirksamste Mittel. Sie schärfen den Blick dafür, dass ein Auskunftsverlangen eben nicht immer als solches betitelt ist und dass die Pflicht zur Bearbeitung trotzdem besteht.
Ausblick auf die weiteren Teile der Beitragsreihe
Ein Auskunftsverlangen erkennen ist nur der Anfang. In den kommenden Beiträgen gehen wir detailliert auf die nächsten Schritte ein:
Teil 2 behandelt den Prozess-Start und den internen Ablauf, sobald ein Auskunftsverlangen identifiziert wurde.
Teil 3 widmet sich der Frage, welche Informationen zusammengestellt werden müssen, denn an einem Auskunftsverlangen hängt oft mehr, als man zunächst denkt.
Teil 4 zeigt, wie eine datenschutzkonforme Antwort formuliert und erteilt wird.
Sie möchten sicherstellen, dass Ihre Organisation Auskunftsverlangen zuverlässig erkennt und richtig damit umgeht? Sprechen Sie uns an, wir unterstützen Sie mit Schulungen, Prozessberatung und als externer Datenschutzbeauftragter.
