Was weißt du von mir? Wichtige Bestandteile von Datenauskünften

Viele Menschen wissen gar nicht, welche Informationen sie im World Wide Web von sich preisgeben, welche Daten von Unternehmen gespeichert, ausgewertet und unter Umständen sogar weitergeleitet werden. Wie schnell hat man an einem Online-Gewinnspiel teilgenommen ohne die Datenschutzbestimmungen im Kleingedruckten zu lesen. Schneller als gedacht kursieren die Daten im Netz, ohne genau zu wissen, in welche Hände sie geraten.

Dabei legt die Datenschutz-Grundverordnung umfangreiche Rechte fest, die helfen sollen, Daten zu schützen und Transparenz zu erhöhen. Kapitel III der DSGVO befasst sich intensiv mit den sogenannten „Rechten der betroffenen Personen“ und legt in Artikel 15 ein Auskunftsrecht fest. Demnach sind Sie verpflichtet, betroffenen Personen auf Anfrage mitzuteilen, wie die Daten erfasst und verarbeitet werden. Unter Umständen muss ihnen sogar mitgeteilt werden, welche Folgen eine Verarbeitung haben kann. Aber eines nach dem anderen. Im nun Folgenden erfahren Sie, welche Auskünfte betroffene Personen anfordern können und in welcher Form und Zeit Sie eine Rückmeldung geben müssen.

Bestandteile einer Auskunft

Im Mittelpunkt einer Auskunft stehen personenbezogene Daten. Dies sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Werden Sie also gefragt, ob Sie personenbezogene Daten des Anfragestellers verarbeiten und dies ist tatsächlich der Fall, müssen Sie eine detaillierte Antwort parat haben.

Gut zu wissen: Die Auskunft bezieht sich immer auf eine natürliche Person. Unternehmen können solche Auskünfte über personenbezogene Daten grundsätzlich genauso wenig erfragen, wie eine Person sich über die gespeicherten Daten einer anderen Person erkundigen kann.

Folgende Informationen müssen Sie als Verantwortlicher bei einer positiven Auskunft bereitstellen:

• Gespeicherte Daten: Führen Sie ganz konkret auf, welche Daten von Ihnen verarbeitet bzw. gespeichert werden. Seien Sie so detailliert wie möglich. Führen sie z. B. im Einzelnen Vorname, Nachname, Adresse, Telefonnummern, Kontodaten, medizinische Befunde, usw. auf.
• Verarbeitungszwecke und Rechtsgrundlage: Erläutern Sie, warum Sie die Daten speichern und/oder verarbeiten. Rechtsgrundlagen können z. B. folgende Grundlagen aus Artikel 6 der DSGVO sein:
  • Einwilligung des Betroffenen
  • Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen
  • Erfüllung einer rechtlichen Verpflichtung
  • Schützen lebenswichtiger Interessen
  • Wahrnehmung eines öffentlichen Interesses oder Ausübung öffentlicher Gewalt
  • Wahrung eines berechtigten Interesses
•  
• Kategorien personenbezogener Daten: Führen Sie aus, welche Arten von Daten Sie verarbeiten. Sind es z. B. Kunden-, Nutzungs- oder Kommunikationsdaten oder mehreres gleichzeitig? Vermerken Sie vor allem, ob „besondere Kategorien personenbezogener Daten“ verarbeitet werden, wie z. B. rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.
• Empfänger bzw. Kategorien von Empfängern: Teilen Sie dem Auskunftsersuchenden mit, welche Empfänger die Daten bereits erhalten haben oder wer diese künftig erhalten wird.
• Geplante Speicherdauer: Vielfach ist es schwer, eine detaillierte Aussage zu treffen, wie lange die Daten gespeichert werden. So richtet sich auch vieles an die Aktivität eines Kunden. Ist ein Kontakt z. B. über einen längeren Zeitraum inaktiv, besteht keine rechtliche Grundlage mehr auf eine Verarbeitung. Gibt es keine einheitliche Aussage über eine Speicherdauer, geben Sie bitte die Kriterien für die Festlegung der Speicherdauer an.
• Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung: Da es neben dem Auskunftsrecht auch weitergehende Rechte für den Umgang mit personenbezogenen Daten gibt, muss an dieser Stelle darauf hingewiesen werden. So wird darüber informiert, dass eine Korrektur unkorrekter oder veralteter Daten oder auch eine komplette oder teilweise Löschung der Daten jederzeit veranlasst werden kann.
• Widerspruchsrecht gegen eine Verarbeitung: Betroffene müssen darüber informiert werden, dass sie das Recht haben, jederzeit gegen eine bereits erteilte Einwilligung zur Datenverarbeitung Widerspruch einzulegen. Die entsprechenden Daten dürfen dann nicht mehr verarbeitet werden, es sei denn, es können zwingende schutzwürdige Gründe aufgeführt werden, wie z. B. die Geltendmachung von Rechtsansprüchen.
• Beschwerderecht: Genauso hat jede betroffene Person das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Der Hinweis dazu muss in jeder Auskunft enthalten sein. Eine Information, welche örtliche oder sachliche Behörde zuständig ist, ist im Allgemeinen nicht nötig.
• Herkunft der Daten: Soweit die Daten nicht bei der betroffenen Person selbst erhoben wurden, müssen Sie in einer Auskunft aufführen, wie Sie die Daten erhoben bzw. über welche Quelle Sie diese erhalten haben. Ist die Herkunft nicht mehr klar nachvollziehbar, wird empfohlen, die in Frage kommenden Quellen aufzuführen.
• Informationen über automatisierte Entscheidungsfindungen: Wird eine automatisierte Entscheidungsfindung einschließlich Profiling eingesetzt, müssen Sie Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren bereitstellen.
• Datenübermittlung in Drittländer: Sofern personenbezogene Daten in Drittländer übermittelt werden, haben betroffene Personen das Recht zu erfahren, welche in Zusammenhang mit der Datenübermittlung getroffenen Garantien vorliegen. Dies sind z. B. vereinbarte Standard-Datenschutzklauseln oder verbindliche interne Datenschutzvorschriften.
  
  

Bearbeitungszeit und Form der Auskunft

Wenn Sie eine Anfrage auf Auskunft erhalten, müssen die Informationen innerhalb eines Monats zur Verfügung gestellt werden. Diese Frist kann in Ausnahmefällen um weitere zwei Monate verlängert werden. Eine Begründung für diese Fristverlängerung muss innerhalb eines Monats mitgeteilt werden.

Eine bestimmte Form der Auskunftserteilung ist nicht vorgeschrieben. In der Regel gilt jedoch: Geht die Anfrage in Papierform ein, sollte auch die Auskunft in Papierform erfolgen. Aber auch ein rein elektronisches Format ist gestattet, wenn die betroffene Person den Antrag elektronisch stellt.

Eine Kopie der Auskunft ist kostenlos bereitzustellen. Sollten jedoch mehrere Kopien angefragt werden, können Verwaltungskosten in Rechnung gestellt werden. Auch wiederholte Anfragen sind zu beantworten, sofern diese nicht exzessiv erfolgen. Im Allgemeinen wird eine Anfrage pro Quartal als annehmbar beurteilt.

Gut zu wissen: Wenn Sie bei der Prüfung feststellen, dass Sie keine Daten der betreffenden Person gespeichert haben, müssen Sie auch dies in einer negativen Auskunft mitteilen.

Sparen sie sich Arbeit durch eine gute Vorbereitung

Sollten Sie auf Auskunftsanfragen nicht reagieren, drohen empfindliche Geldstrafen. Daher bereiten Sie am besten ein Formular vor, das Sie bei einer eingehenden Auskunftsanfrage nur noch befüllen müssen. Mittels eines Exports aus Ihrem CRM oder Ihrer Bürosoftware fließen alle Daten eines Kunden bequem per Mausklick aus dem System und die Beantwortung einer Auskunft ist in wenigen Minuten erledigt.