Ein Auskunftsersuchen ist da: was jetzt innerhalb eines Monats passieren muss
Auskunftsanträge kommen selten aus Neugier. Meist stecken ein gekündigtes Arbeitsverhältnis oder ein Streit dahinter – und dann zählt jede Formalie.
Der Anspruch aus Art. 15 DSGVO ist voraussetzungslos. Betroffene müssen nicht begründen, warum sie Auskunft wollen, und es spielt keine Rolle, ob das Motiv sympathisch ist. Genau deshalb sind Auskunftsersuchen in arbeitsrechtlichen Auseinandersetzungen ein beliebtes Mittel: Sie erzeugen Aufwand und decken auf, was ein Unternehmen über eine Person gespeichert hat.
Die Frist
Art. 12 Abs. 3 DSGVO: unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang. Verlängerung um weitere zwei Monate ist möglich, wenn der Antrag komplex ist oder viele Anträge vorliegen – aber nur, wenn Sie die betroffene Person innerhalb des ersten Monats darüber unterrichten und den Grund nennen. Wer die Verlängerung erst am Tag 32 mitteilt, hat die Frist versäumt.
Die Frist läuft kalendarisch. Urlaub, Krankheit und Betriebsferien halten sie nicht an.
Schritt für Schritt
- Eingang dokumentieren. Datum, Weg, Wortlaut. Das Ersuchen kann formlos kommen – auch mündlich, auch in einem Nebensatz einer E-Mail.
- Identität prüfen (Art. 12 Abs. 6), aber nur bei begründeten Zweifeln. Eine Ausweiskopie standardmäßig zu verlangen, ist selbst datenschutzwidrig.
- Systeme durchsuchen. Nicht nur die offensichtlichen: Personalakte, ERP, CRM, Ticketsystem, Postfächer, Zeiterfassung, Telefonanlage, Videoaufzeichnungen, Backups.
- Rechte Dritter prüfen. Wo Daten anderer Personen betroffen sind, wird geschwärzt statt weggelassen – und das Schwärzen wird begründet.
- Antworten mit den Informationen nach Art. 15 Abs. 1 und 2 sowie einer Kopie der Daten nach Abs. 3.
Was oft vergessen wird
Die Auskunft besteht aus zwei Teilen: den Informationen über die Verarbeitung – Zwecke, Kategorien, Empfänger, geplante Speicherdauer, Herkunft der Daten, Bestehen der Betroffenenrechte – und der Kopie der Daten selbst. Viele Unternehmen liefern nur das eine oder nur das andere.
Der Umfang reicht weiter, als es zunächst wirkt: Auch interne Vermerke, E-Mails und Gesprächsnotizen enthalten personenbezogene Daten, wenn sie sich auf die Person beziehen. Was nicht erfasst wird, sind rein unternehmensinterne Bewertungen ohne Personenbezug – die Grenze verläuft feiner, als es Standardvorlagen suggerieren.
Art. 15 Abs. 3 gibt einen Anspruch auf eine unentgeltliche Kopie. Erst für weitere Kopien darf ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden. Ein pauschales „Bearbeitungsentgelt“ für die erste Auskunft ist unzulässig.
Wenn der Antrag offenkundig unbegründet oder exzessiv ist
Art. 12 Abs. 5 erlaubt dann ein Entgelt oder die Weigerung – aber die Nachweislast liegt bei Ihnen, und die Hürde ist hoch. Ein einzelner Antrag im Zusammenhang mit einer Kündigung ist weder unbegründet noch exzessiv, auch wenn er lästig ist. Die Berufung auf diese Ausnahme lohnt sich erst bei erkennbarer Wiederholung ohne neuen Anlass.
Vorbereiten statt improvisieren
Der Aufwand entsteht fast immer dadurch, dass niemand weiß, wo überall Daten zu einer Person liegen. Wer ein gepflegtes Verarbeitungsverzeichnis hat, beantwortet ein Auskunftsersuchen in Stunden statt in Wochen – es steht dann schon dort, welche Systeme zu durchsuchen sind.