Die Datenschutzgrundverordnung (DSGVO) wirft auch nach 18 Monaten „Betrieb“ noch viele Fragen auf, gerade im Hinblick auf das Auskunftsrecht des Betroffenen. Und das obwohl dieses kein neues Recht ist, sondern bereits unter dem BDSG vorhanden war. Wir beantworten in diesem Beitrag die sechs wichtigsten Fragen zum Thema.
Was gilt es in jedem Fall zu beachten?
- Gemäß Artikel 15 DSGVO hat der Betroffene ein Recht auf Auskunft. Die Auskunft ist kostenneutral zu erteilen.
- Prüfen Sie die Identität des Anfragenden anhand geeigneter Kriterien, um sicherzugehen, dass die Antwort auch die richtige Person erreicht.
- Dokumentieren Sie auch Negativauskünfte, wenn also keine Daten über den Anfragenden vorhanden sind.
Was muss beauskunftet werden?
Der Betroffene ist zu informieren, welche Daten zu welchen Zwecken gespeichert und verarbeitet werden, wer diese erhält, wie lange die Daten gespeichert werden, seine weiteren Rechte auf Löschung und Berichtigung, die Datenherkunft, Nutzung Profiling, Datenübermittlung in Drittländer. Außerdem kann der Betroffene eine Datenkopie verlangen.
Muss die Anfrage einer bestimmten Form genügen?
Die Datenschutzgrundverordnung schreibt keine Form für die Anfrage vor. Es kann also sowohl mündlich wie auch schriftlich gestellt werden. Der Verantwortliche kann aber geeignete Mittel einsetzen, um den Anfragenden zweifelsfrei zu identifizieren (Art. 12 Abs. 6 DSGVO).
Darf die Auskunft verweigert werden?
Grundsätzlich nein. Eine Ausnahme besteht, bei offensichtlich unbegründeten oder übertriebenen Anfragen der Fall sein. Dies ist zum Beispiel der Fall, wenn wiederholt Anfragen gestellt werden oder wenn es keine Verbindung zwischen dem Anfragenden und dem Verantwortlichen gab (Art. 12 Abs. 5 DSGVO).
Wie schnell muss geantwortet werden?
Die DSGVO sagt hierzu, dass ein Auskunftsersuchen unverzüglich, also ohne schuldhaftes Verzögern, zu beantworten ist. Die Frist beträgt vier Wochen. Bei sehr komplexen Verarbeitungen kann der Verantwortliche die Frist um bis zu zwei Monate verlängern, der Betroffene ist dann darüber und über die Gründe der Fristverlängerung zu informieren (Art. 12 Abs. 3 DSGVO).
Was ist zu tun, wenn der Anfragende nicht bekannt ist?
Beantworten Sie auch diese Anfrage und teilen Sie dem Anfragenden den Sachverhalt mit. Teilen Sie außerdem mit, dass Sie zu Nachweiszwecken eine entsprechende Dokumentation für drei Jahre (gesetzliche Verjährung gem. § 195 BGB) aufbewahren.