Auskunftsersuchen nach DSGVO: richtig beantworten
Ein Auskunftsersuchen wirkt oft harmlos, kann aber schnell aufwendig werden. Deshalb brauchen Kommunen und Unternehmen einen klaren Ablauf: Eingang prüfen, Identität klären, Daten suchen, Antwort vorbereiten und Frist einhalten.
Kurzantwort
Ein Auskunftsersuchen nach Art. 15 DSGVO muss ernst genommen und fristgerecht beantwortet werden. Die betroffene Person kann wissen wollen, ob personenbezogene Daten verarbeitet werden und welche Informationen dazu vorliegen. Auskunftsersuchen nach DSGVO richtig beantworten verlangt eine strukturierte Prüfung von Identität, Umfang, Frist, Ausnahmen und sicherer Übermittlung.
Die Antwort muss grundsätzlich innerhalb eines Monats erfolgen. Vorher sollte die verantwortliche Stelle prüfen, ob die anfragende Person identifiziert ist und welche Daten tatsächlich verarbeitet werden.
Wenn keine personenbezogenen Daten zur Person gespeichert sind, endet die Sache nicht einfach. Dann sollte eine sogenannte Negativauskunft erteilt werden.
Einordnung
Worum geht es?
Das Auskunftsrecht ist eines der wichtigsten Betroffenenrechte der DSGVO. Es gibt Personen die Möglichkeit, zu prüfen, welche Daten eine Stelle über sie verarbeitet.
In der Praxis kommen Auskunftsersuchen von Bürgerinnen und Bürgern, Kundinnen und Kunden, Beschäftigten, Bewerbenden, ehemaligen Mitarbeitenden, Vereinsmitgliedern oder Vertragspartnern.
Manchmal ist die Anfrage sehr klar formuliert. Häufig steht aber nur ein kurzer Satz in einer E-Mail, zum Beispiel: „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“ Auch das kann ein Auskunftsersuchen sein.
Deshalb sollte jede Organisation wissen, wie solche Anfragen erkannt und intern weitergeleitet werden.
Rechtsgrundlagen
Gesetzliche Grundlage
Art. 15 DSGVO regelt das Auskunftsrecht. Die betroffene Person kann zuerst eine Bestätigung verlangen, ob personenbezogene Daten über sie verarbeitet werden.
Werden personenbezogene Daten verarbeitet, muss der Verantwortliche Auskunft über diese Daten und über weitere Informationen geben. Dazu gehören unter anderem Zwecke der Verarbeitung, Kategorien personenbezogener Daten, Empfänger, Speicherdauer, Betroffenenrechte und das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde.
Art. 12 DSGVO regelt die Frist und die Form der Antwort. Danach muss der Verantwortliche die betroffene Person grundsätzlich innerhalb eines Monats informieren. Bei komplexen oder zahlreichen Anträgen kann die Frist verlängert werden. Dann muss die Stelle aber rechtzeitig über die Verlängerung informieren.
Art. 15 Abs. 3 DSGVO betrifft die Kopie der personenbezogenen Daten. Diese Kopie darf allerdings Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD hat eine eigene Orientierungshilfe zum Recht auf Auskunft nach der Datenschutz-Grundverordnung veröffentlicht. Sie richtet sich besonders an bayerische öffentliche Stellen.
Der BayLfD macht damit deutlich: Öffentliche Stellen sollen Auskunftsverlangen zügig und gesetzmäßig bearbeiten. Dazu brauchen sie einen strukturierten Ablauf und eine sorgfältige Prüfung des konkreten Begehrens.
Für Kommunen ist das besonders wichtig. Denn Auskunftsersuchen können viele Bereiche betreffen, etwa Bürgerbüro, Personalstelle, Bauamt, Ordnungsamt, Kita, Kämmerei oder Gremienarbeit.
Für bayerische Kommunen bedeutet das: Ein Auskunftsersuchen darf nicht einfach im Fachbereich liegen bleiben. Die Verwaltung sollte sofort prüfen, wer zuständig ist, ob die Person identifiziert ist und welche Datenquellen betroffen sind.
Weitere Auffassungen
Weitere Auffassungen der Aufsichtsbehörden
Das Bayerische Landesamt für Datenschutzaufsicht erklärt für nichtöffentliche Stellen, dass grundsätzlich jeder Verantwortliche Auskunft erteilen muss, wenn ein Auskunftsbegehren bei ihm geltend gemacht wird.
Außerdem weist das BayLDA darauf hin, dass auch dann eine Antwort erforderlich ist, wenn keine personenbezogenen Daten zur anfragenden Person gespeichert sind. In diesem Fall erteilt die Stelle eine Negativauskunft.
Der Europäische Datenschutzausschuss hat Leitlinien zum Auskunftsrecht veröffentlicht. Danach besteht das Auskunftsrecht nicht nur aus einer allgemeinen Information. Es umfasst auch den Zugang zu den personenbezogenen Daten selbst und zusätzliche Informationen zur Verarbeitung.
Ablauf
Auskunftsersuchen in 6 Schritten bearbeiten
Datum, Kanal und Inhalt der Anfrage festhalten. So bleibt die Frist kontrollierbar.
Bei Zweifeln darf die Stelle zusätzliche Informationen anfordern. Dabei sollte sie nicht mehr Daten verlangen als nötig.
Ist die Anfrage sehr weit, kann eine Konkretisierung helfen. Dennoch darf die Bearbeitung nicht unnötig verzögert werden.
Relevante Systeme, Akten, E-Mails und Fachbereiche prüfen. Die Suche sollte nachvollziehbar bleiben.
Die Antwort muss verständlich sein. Außerdem muss sie die Informationen aus Art. 15 DSGVO berücksichtigen.
Antwort, Datum und wesentliche Prüfschritte festhalten. Das hilft bei späteren Rückfragen.
Kommunale Praxis
Praktische Bedeutung für Kommunen
In Kommunen kann ein Auskunftsersuchen viele Datenquellen betreffen. Deshalb sollte nicht nur ein Fachverfahren geprüft werden.
Je nach Fall kommen Melderegister, Gewerbeamt, Bauamt, Kämmerei, Ordnungsamt, Personalstelle, Kita, Schule, Feuerwehr, Ratsinformationssystem oder E-Mail-Postfächer in Betracht.
Gleichzeitig muss die Verwaltung Rechte anderer Personen schützen. Das ist etwa relevant, wenn Akten Vermerke, Hinweise, Beschwerden, Namen Dritter oder interne Bewertungen enthalten.
Gerade bei umfangreichen kommunalen Vorgängen sollte die Verwaltung sauber dokumentieren, welche Stellen sie eingebunden hat und welche Datenquellen sie geprüft hat.
Unternehmenspraxis
Praktische Bedeutung für Unternehmen
Unternehmen erhalten Auskunftsersuchen oft von Kunden, Bewerbenden, Beschäftigten oder ehemaligen Mitarbeitenden.
Typische Datenquellen sind CRM-Systeme, Buchhaltung, Personalakten, Bewerbermanagement, E-Mail-Postfächer, Ticketsysteme, Newsletter-Tools, Website-Tools, Cloud-Speicher und Dienstleister.
Besonders sorgfältig sollten Unternehmen bei Beschäftigtendaten arbeiten. Dort können Leistungsbewertungen, interne Hinweise, Konflikte oder Daten anderer Personen betroffen sein.
Außerdem sollte jedes Unternehmen klären, wer die Antwort freigibt. Denn eine unvollständige oder ungeschützte Auskunft kann neue Datenschutzrisiken auslösen.
Praxisfehler
Typische Fehler
Ein häufiger Fehler ist, ein Auskunftsersuchen zu spät zu erkennen. Eine Anfrage muss nicht ausdrücklich „Art. 15 DSGVO“ nennen.
Ebenso riskant ist eine Antwort ohne sichere Identitätsprüfung. Gibt die Stelle Daten an die falsche Person heraus, kann daraus ein Datenschutzvorfall entstehen.
Ein weiterer Fehler ist die reine Standardantwort. Die betroffene Person hat nicht nur Anspruch auf allgemeine Datenschutzhinweise. Sie kann auch Auskunft zu den konkreten personenbezogenen Daten verlangen.
Problematisch ist außerdem, Daten anderer Personen ungeprüft mitzuteilen. Die Auskunft darf Rechte und Freiheiten Dritter nicht verletzen.
Vorgehen
Praxistipps
Organisationen sollten einen festen Prozess für Betroffenenrechte einführen. Dadurch landet ein Auskunftsersuchen nicht zufällig bei der falschen Stelle.
Außerdem hilft ein kurzes Eingangsformular. Darin kann die Organisation Datum, Frist, Identitätsprüfung, betroffene Fachbereiche und erledigte Suchläufe festhalten.
Bei unklaren Anfragen sollte die Stelle freundlich nachfragen. Trotzdem sollte sie die Monatsfrist im Blick behalten.
Vor dem Versand sollte eine zweite Person prüfen, ob die Antwort vollständig ist und keine Daten Dritter unzulässig enthält.
Prüfpunkte
Checkliste für Auskunftsersuchen
Wurde der Eingang mit Datum dokumentiert?
Ist klar, dass es sich um ein Auskunftsersuchen handeln kann?
Ist die Identität der anfragenden Person ausreichend geklärt?
Wurde bei Zweifeln eine angemessene Identitätsprüfung durchgeführt?
Ist der Umfang der Anfrage klar?
Wurden alle relevanten Fachbereiche oder Systeme geprüft?
Wurden auch Papierakten, E-Mails und Fachverfahren berücksichtigt?
Wurde geprüft, ob Daten Dritter betroffen sind?
Enthält die Antwort die Informationen aus Art. 15 DSGVO?
Wurde geprüft, ob eine Kopie personenbezogener Daten herauszugeben ist?
Wurde die Monatsfrist eingehalten?
Wurde eine notwendige Fristverlängerung rechtzeitig begründet?
Wurde bei fehlenden Daten eine Negativauskunft vorbereitet?
Wurde der Versand sicher gewählt?
Wurde die Bearbeitung dokumentiert?
Häufige Fragen
FAQ
Muss ein Auskunftsersuchen ausdrücklich Art. 15 DSGVO nennen?
Nein. Entscheidend ist der Inhalt der Anfrage. Auch eine einfache Bitte um Mitteilung gespeicherter Daten kann ein Auskunftsersuchen sein.
Wie schnell muss geantwortet werden?
Die Antwort muss grundsätzlich innerhalb eines Monats erfolgen. Bei komplexen oder zahlreichen Anfragen kann die Frist verlängert werden. Die betroffene Person muss dann rechtzeitig informiert werden.
Darf die Identität geprüft werden?
Ja. Wenn Zweifel an der Identität bestehen, darf die Stelle zusätzliche Informationen anfordern. Sie sollte aber nur das verlangen, was für die Identifizierung erforderlich ist.
Muss auch geantwortet werden, wenn keine Daten gespeichert sind?
Ja. Dann sollte die Stelle mitteilen, dass keine personenbezogenen Daten zur betroffenen Person verarbeitet werden. Das wird häufig als Negativauskunft bezeichnet.
Müssen alle Unterlagen vollständig herausgegeben werden?
Nicht automatisch. Art. 15 DSGVO betrifft personenbezogene Daten und bestimmte Informationen zur Verarbeitung. Außerdem dürfen Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden.
Kann ein Auskunftsersuchen abgelehnt werden?
Das kommt nur in besonderen Fällen in Betracht. Vor einer Ablehnung sollte die Stelle den Fall sorgfältig prüfen und die Gründe sauber dokumentieren.
Ergebnis
Fazit
Ein Auskunftsersuchen nach DSGVO sollte immer strukturiert bearbeitet werden. Wichtig sind Frist, Identität, Umfang, Datenquellen und sichere Antwort.
Kommunen und Unternehmen sollten nicht erst im Einzelfall überlegen, wer zuständig ist. Ein klarer Prozess spart Zeit und verhindert Fehler.
Ob und in welchem Umfang Auskunft zu erteilen ist, hängt vom konkreten Antrag, den vorhandenen Daten und möglichen Rechten Dritter ab. Deshalb sollte die Stelle den Einzelfall sorgfältig prüfen.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Auskunftsersuchen sicher beantworten?
Bei Auskunftsersuchen kommt es auf Frist, Identität, Umfang und Datenquellen an. Eine saubere Prüfung verhindert unvollständige Antworten und schützt zugleich die Rechte anderer Personen.
Einzelfall prüfen lassen