Das Auskunftsersuchen – Recht auf Auskunft im Datenschutz

Worauf Unternehmen, Organisationen und Vereine achten müssen

Das Recht auf Auskunft nach Art. 15 DS-GVO ist eines der zentralen Betroffenenrechte im Datenschutz. Unternehmen, Organisationen und Vereine sind verpflichtet, auf Anfrage umfassend darüber zu informieren, welche personenbezogenen Daten sie über eine Person speichern und wie diese verarbeitet werden.

Doch was bedeutet das konkret für Verantwortliche? Wie sollte ein Auskunftsersuchen umgesetzt werden, und welche Stolpersteine gilt es zu vermeiden? Dieser Leitfaden gibt praxisnahe Antworten und hilft, Auskunftsersuchen rechtssicher zu bearbeiten.

BLOG-TIPP: LÖSCHFRISTEN IM DATENSCHUTZ FÜR UNTERNEHMEN

Was ist ein Auskunftsersuchen?

Ein Auskunftsersuchen ist die Anfrage einer betroffenen Person, Auskunft darüber zu erhalten, ob und welche personenbezogenen Daten von ihr verarbeitet werden. Das Recht auf Auskunft ist in der Datenschutzgrundverordnung (DS-GVO) verankert und verpflichtet Verantwortliche, auf solche Anfragen innerhalb eines Monats zu reagieren. Die Auskunft muss verständlich, vollständig und unentgeltlich erfolgen.

 Welche Daten sind betroffen?

Unternehmen, Organisationen und Vereine verarbeiten meist eine überschaubare Menge an personenbezogenen Daten. Personenbezogene Daten sind Daten, die einen es möglich machen, eine natürliche Person zu identifizieren. Typische Beispiele sind:

• Name, Adresse
• Geburtsdatum
• Kontaktdaten (E-Mail, Telefonnummer)
• IP-Adressen

Wichtig: Die Auskunft bezieht sich ausschließlich auf die personenbezogenen Daten der anfragenden Person. Daten Dritter müssen geschwärzt oder unkenntlich gemacht werden.

Gesetzlich geforderte Mindestangaben

Die DS-GVO schreibt vor, dass nicht nur die gespeicherten Daten selbst, sondern auch weitere Informationen offengelegt werden müssen. Dazu gehören insbesondere:

• Zweck der Verarbeitung: Warum werden die Daten verarbeitet
• Rechtsgrundlage: Auf welcher gesetzlichen Grundlage erfolgt die Verarbeitung?
• Empfänger/Kategorien von Empfängern: Wer erhält die Daten? (z. B. Banken, Steuerberater, Softwareanbieter)
• Speicherdauer: Wie lange werden die Daten gespeichert?
• Hinweis auf Betroffenenrechte: Information über Rechte auf Berichtigung, Löschung, Einschränkung, Widerspruch und Beschwerde bei einer Aufsichtsbehörde 
• Herkunft der Daten: Woher stammen die Daten, falls sie nicht beim Betroffenen selbst erhoben wurden?
• Kopie der Daten: Die Auskunft muss eine Kopie aller personenbezogenen Daten enthalten, die verarbeitet werden.

BLOG-TIPP: DER VERANTWORTLICHE IM DATENSCHUTZ – UMSETZUNG DER VORGABEN

Wie kann eine Antwort für ein Auskunftsersuchen aussehen?

Die Antwort auf ein Auskunftsersuchen sollte strukturiert, nachvollziehbar und vollständig sein. Eine klare Gliederung hilft, alle Anforderungen der DS-GVO zu erfüllen.

Praktische Umsetzung des Auskunftsersuchens im Datenschutz

Stellen Sie sicher, dass die Anfrage von der betroffenen Person stammt. Bei Unsicherheiten kann eine Identitätsprüfung erforderlich sein. Ermitteln Sie alle personenbezogenen Daten, die über die anfragende Person gespeichert sind. Berücksichtigen Sie dabei alle Systeme und Ablagen.

Fügen Sie die erforderlichen Informationen zu Zweck, Rechtsgrundlage, Empfängern, Speicherdauer, Herkunft und Betroffenenrechten hinzu. Bereiten Sie eine Kopie aller gespeicherten personenbezogenen Daten auf – übersichtlich und verständlich.

Antwort fristgerecht versenden

Die Auskunft muss spätestens innerhalb eines Monats nach Eingang der Anfrage erfolgen. In Ausnahmefällen kann die Frist um zwei Monate verlängert werden, wenn die Bearbeitung besonders komplex ist. Informieren Sie die betroffene Person rechtzeitig über eine etwaige Fristverlängerung und sprechen Sie diese mit einem Datenschutzbeauftragten.

BLOG-TIPP: SICHERES ON- UND OFFBOARDING VON MITARBEITENDEN: DATENSCHUTZ SICHER UMSETZEN

Typische Fehler vermeiden

Um ein Auskunftsersuchen eines Betroffenen ausreichend zu bearbeiten, sollte man typische Fehler vermeiden, dazu gehören folgende Beispiele:

• unvollständige Auskünfte: Alle relevanten Daten und Pflichtangaben müssen enthalten sein.
• Verletzung der Vertraulichkeit: Daten Dritter dürfen nicht offengelegt werden.
• verspätete Antworten: Die Monatsfrist ist zwingend einzuhalten.
• fehlende Hinweise auf Betroffenenrechte: Diese müssen vollständig aufgeführt werden.
• unstrukturierte oder unverständliche Auskünfte: Die Antwort sollte klar gegliedert und leicht verständlich sein.

Auskunftsersuchen nach der DS-GVO

Das Auskunftsersuchen nach Art. 15 DSGVO ist ein zentrales Instrument für Transparenz im Datenschutz. Verantwortliche in Unternehmen, Organisationen und Vereinen sollten sich mit den Anforderungen vertraut machen und standardisierte Prozesse etablieren, um Anfragen effizient und rechtssicher zu beantworten.

Bei einem Auskunftsersuchen sollte möglichst immer der (externe) Datenschutzbeauftragte hinzugezogen werden, damit alle möglichen und nötigen Vorgaben umgesetzt werden.

Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.

Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.