Auskunftspflichten nach DSGVO

Wissenswertes zum Thema Auskunftspflichten nach DSGVO

Wen treffen die Auskunftspflichten der DSGVO?

Zur Auskunft verpflichtet ist der Verantwortliche. Laut Artikel 4 Nummer 7 DSGVO ist der Verantwortliche "die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet". Verantwortlicher bist du hiernach beispielsweise dann, wenn du als Online-Händler auf deiner Webanalyse-Tools einsetzt.

Gibt es Ausnahmen von der Pflicht zur Auskunftserteilung?

In aller Regel müssen auf Antrag alle genannten Auskünfte kostenlos erteilt werden. Eine Ausnahme besteht bei offensichtlich unbegründeten und wiederholten Anfragen. Falls die Herausgabe der Daten aus rechtlichen oder tatsächlichen Gründen unmöglich ist, bist du nicht dazu verpflichtet. Wichtig ist, dass die Beweislast für das Vorliegen dieser Voraussetzungen beim Verantwortlichen liegt. Außerdem solltest du nicht untätig bleiben, sondern deine Weigerung begründen und den Antragsteller über seine rechtlichen Möglichkeiten aufklären.

Gibt es Ausnahmen, die nur in Deutschland greifen?

Das Bundesdatenschutzgesetz enthält weitere Ausnahmen. Zum einen kann eine Auskunft verweigert werden, wenn der Aufwand unverhältnismäßig hoch wäre und die Daten nur aufgrund gesetzlicher Aufbewahrungsvorschriften gespeichert sind. Das Gleiche gilt für reine Archiv- und Protokollierungsdaten. Darüber hinaus besteht keine Auskunftspflicht, wenn ein Interesse an der Geheimhaltung besteht. Damit sind vor allem Daten gemeint, die aufgrund gesetzlicher Vorschriften nicht herausgegeben werden dürfen. Relevant ist diese Ausnahme vor allem für Berufsgeheimnisträger wie Ärzte und Anwälte.

Wie können sich Unternehmen auf Auskunftsersuchen vorbereiten?

Die meisten Probleme entstehen durch einen Mangel an Wissen über die Relevanz von Auskunftsersuchen auf Grundlage der DSGVO. Unternehmen sollten alle Anfragen bezüglich personenbezogener Daten ernst nehmen und ihre Mitarbeiter darüber informieren, wie bedeutsam es ist, diesen Anfragen nachzukommen. Insbesondere in großen Unternehmen ist es sinnvoll, bestimmte Mitarbeiter für diese Aufgabe auszuwählen und ein einheitliches Vorgehen festzulegen. Dazu gehört auch ein bewusster und transparenter Umgang mit personenbezogenen Daten, denn es ist natürlich nahezu unmöglich, schnell vollständige Informationen herauszugeben, wenn der zuständige Mitarbeiter nicht weiß, wo und wie die Daten beispielsweise im Rahmen von internen Vermerken verwendet werden.

Wie sollte ein Unternehmen auf ein Auskunftsersuchen reagieren?

Im Folgenden findest du einen beispielhaften Ablauf einer Auskunftserteilung mit allen wichtigen Schritten:

Das Auskunftsverlangen muss als solches erkannt und an die zuständige Person weitergeleitet werden.

Mithilfe der Anfrage müssen alle notwendigen Daten festgestellt werden. Insbesondere solltest du herausfinden, welche eindeutig identifizierbare Person, die Auskünfte verlangt. Wichtig ist darüber hinaus, was die Person wissen möchte.

Du kannst prüfen, ob du zur Herausgabe der Daten nach der DSGVO verpflichtet bist bzw. ob möglicherweise ein gesetzliches Verbot (bspw. wenn die gewünschten Daten Dritte betreffen) gegen die Herausgabe der Daten spricht.

Die notwendigen Daten müssen gesammelt und zusammengeführt werden.

Die Daten müssen so aufbereitet werden, dass der Betroffene sie leicht finden und verstehen kann. Darüber hinaus muss eine mögliche Weigerung bestimmte Daten herauszugeben begründet werden.

Die Auskünfte müssen fristgerecht an den Betroffenen übermittelt werden. Die DSGVO verlangt eine unverzügliche Übermittlung der Daten. Spätestens innerhalb eines Monats müssen die Auskünfte erteilt worden sein. Sollte diese Zeit beispielsweise aufgrund einer besonders hohen Datenmenge nicht ausreichen, kann die Frist auf drei Monate verlängert werden. Dies musst du dem Betroffenen mitteilen und begründen. Hierbei kann u.a. ein interner oder externer Datenschutzbeauftragter helfen.

Was gilt bzgl. der Gebühren und Fristen der Auskunftserteilung?

Fristverlängerung: Eine Fristverlängerung um weitere zwei Monate ist möglich, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.

Was droht, wenn das Unternehmen dem Auskunftsersuchen nicht nachkommt?

Der Betroffene kann die zuständige Aufsichtsbehörde informieren. Diese wird den Fall prüfen und gegebenenfalls ein Bußgeld verhängen. Darüber hinaus haben Betroffene auch die Möglichkeit, die Auskünfte einzuklagen. Dadurch entstehen Anwalts- und Gerichtskosten. Außerdem kann das Gericht ein Zwangsgeld verhängen.