Ein Monat, eine Kopie, klare Grenzen
Der Anspruch ist weit, aber nicht grenzenlos. Entscheidend ist, in welcher Reihenfolge du vorgehst, denn die Frist läuft ab dem Tag des Eingangs.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Das Schreiben liegt seit drei Wochen im falschen Postfach
Auskunftsersuchen kommen selten über den Kanal, den man dafür eingerichtet hat. Sie kommen als Absatz in einer E-Mail an den Vertrieb, als Nebensatz in einem Kündigungsschreiben, als Formulierung in einem Anwaltsschreiben. Sie müssen keine Norm zitieren und keine Form einhalten. Die Monatsfrist läuft trotzdem ab dem Eingang, und zwar ab dem Eingang im Unternehmen, nicht ab dem Tag, an dem das Schreiben bei der richtigen Stelle ankommt.
Der zweite Zeitfresser ist die Suche. Personenbezogene Daten liegen im Fachsystem, in Postfächern, in Ablagen, in Auswertungen und häufig in Notizen einzelner Personen. Wer keine Übersicht hat, in welchen Verarbeitungen eine Person überhaupt vorkommen kann, beginnt mit einer Rundmail und wartet auf Rückläufe. Damit ist die Hälfte der Frist verbraucht, bevor die erste Zeile geschrieben ist.
Der dritte Punkt betrifft den Inhalt. Wer zu viel herausgibt, verletzt Rechte anderer, denn in E-Mails und Vermerken stehen fast immer auch Angaben über Kolleginnen, Kollegen und Dritte. Wer zu wenig herausgibt, riskiert eine Beschwerde bei der Aufsichtsbehörde, und Verstöße gegen Artikel 15 fallen nach Artikel 83 Absatz 5 in den höheren Bußgeldrahmen von bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sieben Schritte vom Eingang bis zur Antwort
Der Ablauf ist auf die Monatsfrist zugeschnitten. Die ersten drei Schritte gehören auf denselben Tag, die Schritte vier bis sechs in die erste Hälfte der Frist, damit für Rückfragen Zeit bleibt.
- 1
Eingang festhalten und Frist berechnen
Notier den Tag des Eingangs im Unternehmen, nicht den Tag der Weiterleitung. Berechne von dort den Monat nach Artikel 12 Absatz 3 und trag zusätzlich einen Termin nach drei Wochen ein, an dem entschieden wird, ob eine Verlängerung nötig ist.
Geschafft, wenn: Zwei Termine stehen im Kalender, einer für die Entscheidung und einer für die Frist.
- 2
Identität prüfen
Prüf, ob überhaupt begründete Zweifel bestehen. Kommt die Anfrage aus einem angemeldeten Konto oder von einer im System hinterlegten Adresse, gibt es meist keine. Bestehen Zweifel, frag gezielt nach einem Merkmal, das ihr ohnehin gespeichert habt, statt einen Ausweis anzufordern.
Geschafft, wenn: Die Zuordnung ist geklärt, ohne dass neue Daten erhoben wurden.
- 3
Suchauftrag verteilen
Geh die Verarbeitungstätigkeiten aus dem Verzeichnis durch und leite daraus ab, in welchen Systemen und bei welchen Stellen gesucht werden muss. Setz für die Rückläufe eine Frist von einer Woche und benenne, wonach gesucht wird, also nach welchen Namen, Kennungen, Kundennummern und Adressen.
Geschafft, wenn: Jede Stelle weiß, wonach sie sucht, und bis wann sie antwortet.
- 4
Umfang festlegen
Stell die acht Angaben aus Artikel 15 Absatz 1 zusammen und entscheide getrennt davon über die Kopie nach Absatz 3. Prüf, ob einzelne Bestände unter die Ausnahmen aus § 34 BDSG fallen, etwa Daten, die ausschließlich wegen einer Aufbewahrungsvorschrift oder zur Datensicherung vorgehalten werden.
Geschafft, wenn: Es steht fest, was Information ist, was Kopie ist und was ausgenommen bleibt.
- 5
Dritte schützen
Geh die Kopie durch und entferne Angaben, die andere Personen betreffen, ohne für das Verständnis nötig zu sein. In E-Mail-Verläufen betrifft das Verteiler, Signaturen und Aussagen über Kolleginnen und Kollegen. Dokumentier, was aus welchem Grund entfernt wurde, damit die Entscheidung später nachvollziehbar bleibt.
Geschafft, wenn: Die Kopie ist um fremde Angaben bereinigt, und die Gründe sind vermerkt.
- 6
Antwort zusammenstellen
Schreib die Auskunft so, dass die acht Angaben erkennbar beantwortet sind, und leg die Kopie in einem lesbaren Format bei. Nenn die Empfänger namentlich, soweit sie identifizierbar sind. Erklär kurz, wenn du etwas nicht herausgibst, und nenn den Grund, statt die Stelle unkommentiert zu schwärzen.
Geschafft, wenn: Die Antwort lässt sich Punkt für Punkt gegen Artikel 15 Absatz 1 prüfen.
- 7
Vorgang dokumentieren
Halte Eingang, Identitätsprüfung, durchsuchte Systeme, Entscheidungen über Schwärzungen und den Versand fest. Die Rechenschaftspflicht aus Artikel 5 Absatz 2 verlangt den Nachweis, und bei einer Beschwerde ist dieser Vermerk die einzige Unterlage, die den Ablauf belegt.
Geschafft, wenn: Der gesamte Vorgang ist in einem Vermerk nachvollziehbar.
Acht Angaben nach Artikel 15 Absatz 1 und die Kopie
- 01 Zu nennen sind die Zwecke und die Kategorien der verarbeiteten Daten.
- 02 Dazu kommen die Empfänger, bei Drittländern samt der Garantien.
- 03 Die Speicherdauer oder die Kriterien für ihre Festlegung gehören dazu.
- 04 Es folgen die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch.
- 05 Beschwerderecht und Herkunft der Daten sind ebenfalls zu nennen.
- 06 Bei automatisierter Entscheidungsfindung kommt die Erklärung der Logik hinzu.
- 07 Absatz 3 ergänzt die Kopie der Daten, die Gegenstand der Verarbeitung sind.
Was du danach in der ersten Stunde nach Eingang erledigst
Der Ablauf entscheidet über die Frist, nicht die Sorgfalt beim Formulieren. Wenn Eingang, Identitätsprüfung und Suchauftrag am selben Tag stattfinden, bleibt für Inhalt und Abstimmung genug Zeit. Wenn nicht, entsteht der Zeitdruck erst in der letzten Woche.
Den Eingang datieren, egal wo er ankommt
Die Frist läuft ab Eingang im Unternehmen. Eine kurze Regel für alle Postfächer, wie ein solches Schreiben erkannt und weitergegeben wird, ist deshalb wirksamer als jede Musterantwort.
Die Identität prüfen, ohne neue Daten zu erheben
Artikel 12 Absatz 6 erlaubt zusätzliche Angaben nur bei begründeten Zweifeln. Eine Ausweiskopie zu verlangen, wenn die Anfrage aus dem hinterlegten Kundenkonto kommt, ist eine eigene Verarbeitung ohne Grundlage.
Bei großen Beständen um Präzisierung bitten
Erwägungsgrund 63 sieht ausdrücklich vor, dass du bei einer großen Menge verarbeiteter Informationen eine Präzisierung verlangen kannst. Das ist eine Bitte, keine Bedingung, und sie hemmt die Frist nicht.
Empfänger konkret benennen
Der Europäische Gerichtshof hat entschieden, dass die Identität der Empfänger mitzuteilen ist, nicht nur die Kategorie. Kategorien genügen, wenn die Empfänger nicht identifizierbar sind oder der Antrag offenkundig unbegründet oder exzessiv ist.
Die Kopie richtig verstehen
Verlangt ist eine originalgetreue und verständliche Reproduktion der Daten, nicht der Aktenbestand. Dokumentauszüge oder ganze Dokumente sind nur herauszugeben, wenn sie für das Verständnis unerlässlich sind.
Angaben über Dritte trennen
Artikel 15 Absatz 4 schützt die Rechte und Freiheiten anderer Personen. Das rechtfertigt das Schwärzen einzelner Angaben, nicht die Verweigerung der Auskunft im Ganzen, wie Erwägungsgrund 63 ausdrücklich klarstellt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Frist, und wann sie sich verlängern lässt
Artikel 12 Absatz 3 verlangt die Auskunft unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Die Frist lässt sich um weitere zwei Monate verlängern, wenn die Komplexität oder die Anzahl der Anträge das erfordert. Entscheidend ist die zweite Hälfte der Regel: Die Unterrichtung über die Verlängerung samt Gründen muss innerhalb eines Monats nach Eingang erfolgen. Wer die Verlängerung erst am Tag des Fristablaufs mitteilt, hat sie nicht wirksam in Anspruch genommen.
Anlass gibt es dafür genug, aber nicht jeder trägt. Ein großer Datenbestand, verstreute Ablagen und eine notwendige Abstimmung mit einem Dienstleister sind Gründe, die sich benennen lassen. Urlaubszeit und Personalmangel sind es nicht, jedenfalls nicht als alleinige Begründung. Weil die Unterrichtung ohnehin die Gründe enthalten muss, lohnt sich die Entscheidung darüber nach etwa drei Wochen, wenn die Rückläufe aus den Fachbereichen vorliegen.
Eine Bitte um Präzisierung ändert an der Frist nichts. Erwägungsgrund 63 sieht sie ausdrücklich vor, wenn der Verantwortliche eine große Menge von Informationen über die betroffene Person verarbeitet, und sie ist ein sinnvolles Mittel, weil viele Anfragen sich in Wirklichkeit auf einen bestimmten Vorgang beziehen. Sie ist aber eine Bitte und keine Bedingung: Antwortet die Person nicht, musst du die Auskunft trotzdem vollständig erteilen.
Was die Kopie nach Absatz 3 umfasst und was nicht
Die häufigste Fehlvorstellung auf beiden Seiten lautet, Artikel 15 Absatz 3 gebe ein Recht auf sämtliche Dokumente, in denen der Name vorkommt. Der Europäische Gerichtshof hat das am 4. Mai 2023 in der Rechtssache C-487/21 anders entschieden. Verlangt ist eine originalgetreue und verständliche Reproduktion aller verarbeiteten personenbezogenen Daten. Ein Recht auf Kopien von Auszügen aus Dokumenten oder von ganzen Dokumenten besteht dann, wenn die Bereitstellung einer solchen Kopie unerlässlich ist, um die wirksame Ausübung der Rechte zu ermöglichen, und dabei sind die Rechte anderer zu berücksichtigen.
Praktisch heißt das, dass du zwei Fragen trennen musst. Erstens: Welche Daten über die Person werden verarbeitet? Diese Daten gehören vollständig und verständlich in die Antwort. Zweitens: Ist bei einem bestimmten Datum der Zusammenhang für das Verständnis nötig? Nur dann gehört das Dokument selbst dazu. Eine Bewertung im Zeugnisentwurf ist ohne den umgebenden Satz nicht verständlich, eine Telefonnummer im Adressfeld dagegen schon.
Für den Aufwand ist auch die Rechtsprechung zur Bestimmtheit von Anträgen relevant. Das Bundesarbeitsgericht hat am 27. April 2021 in der Sache 2 AZR 342/20 einen Klageantrag auf Überlassung von E-Mail-Kopien als nicht hinreichend bestimmt zurückgewiesen, weil aus ihm nicht hervorging, welche Nachrichten gemeint waren. Für dich heißt das nicht, dass du weniger herausgeben müsstest. Es heißt, dass eine pauschale Forderung nach allen E-Mails auch aus Sicht der Gerichte keine klar umrissene Verpflichtung erzeugt und eine Rückfrage nach dem gemeinten Vorgang sachlich begründet ist.
Empfänger, Herkunft und automatisierte Entscheidungen
Buchstabe c aus Artikel 15 Absatz 1 nennt die Empfänger oder Kategorien von Empfängern. Der Europäische Gerichtshof hat am 12. Januar 2023 in der Rechtssache C-154/21 entschieden, dass die betroffene Person grundsätzlich Anspruch auf die Identität der Empfänger hat. Nur wenn die Empfänger nicht identifizierbar sind oder wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist, darf er sich auf Kategorien beschränken. Für die Antwort heißt das, dass die Liste der Auftragsverarbeiter und Vertragspartner konkret werden muss.
Buchstabe g betrifft die Herkunft und ist genau dann schwierig, wenn Daten aus verschiedenen Quellen zusammenlaufen. Anzugeben sind alle verfügbaren Informationen über die Herkunft, wenn die Daten nicht bei der betroffenen Person erhoben wurden. Wo die Quelle im System nicht mitgeführt wird, lässt sich das nachträglich kaum beantworten, weshalb die Herkunftsangabe im System ein einfacher Vorbereitungsschritt für spätere Anfragen ist.
Buchstabe h verlangt bei automatisierter Entscheidungsfindung einschließlich Profiling aussagekräftige Informationen über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen. Verlangt ist die Erklärung der Logik, nicht die Offenlegung eines Verfahrens im Detail. Erwägungsgrund 63 nennt Geschäftsgeheimnisse und Urheberrechte ausdrücklich als Schranke, stellt aber ebenso ausdrücklich klar, dass dies nicht dazu führen darf, der betroffenen Person jegliche Auskunft zu verweigern.
Die Grenzen des Anspruchs
Die erste Grenze ist Artikel 15 Absatz 4: Das Recht auf eine Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. In der Praxis betrifft das fast jede E-Mail und jeden Vermerk, weil dort Namen, Bewertungen und Aussagen anderer stehen. Die richtige Antwort ist das gezielte Entfernen einzelner Angaben, nicht das Zurückhalten des ganzen Dokuments. Sinnvoll ist ein kurzer Hinweis, dass und warum geschwärzt wurde, denn eine unkommentierte schwarze Fläche führt regelmäßig zur nächsten Anfrage.
Die zweite Grenze steht in § 34 des Bundesdatenschutzgesetzes. Die Auskunft entfällt unter anderem, wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, und die Auskunft einen unverhältnismäßigen Aufwand erfordern würde, wobei eine Verarbeitung zu anderen Zwecken technisch und organisatorisch ausgeschlossen sein muss. Das ist der Grund, warum Sicherungsbestände in der Regel nicht durchsucht werden müssen. Absatz 2 verlangt, die Gründe der Ablehnung zu dokumentieren und der betroffenen Person mitzuteilen.
Die dritte Grenze ist Artikel 12 Absatz 5. Bei offenkundig unbegründeten oder, insbesondere im Fall häufiger Wiederholung, exzessiven Anträgen darf ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Der Nachweis dafür liegt beim Verantwortlichen, und die Hürde ist hoch. Die dritte Anfrage derselben Person innerhalb weniger Wochen kann darunter fallen, eine unbequeme oder umfangreiche Anfrage nicht.
Wenn die Anfrage aus einer Auseinandersetzung kommt
Auskunftsersuchen erreichen Unternehmen häufig im Zusammenhang mit einer Kündigung oder einem laufenden Streit, und der Verdacht liegt dann nahe, dass es nicht um Datenschutz geht, sondern um Material. Für die Bearbeitung ändert das nichts. Der Europäische Gerichtshof hat am 26. Oktober 2023 in der Rechtssache C-307/22 entschieden, dass die betroffene Person ihren Antrag nicht begründen muss und dass das Recht auch dann besteht, wenn andere Zwecke verfolgt werden als die Überprüfung der Rechtmäßigkeit der Verarbeitung. Dieselbe Entscheidung stellt klar, dass die erste Kopie unentgeltlich bereitzustellen ist.
Der Motivverdacht ist deshalb kein Ablehnungsgrund, wohl aber ein Grund, sorgfältig zu arbeiten. Weil in solchen Fällen jede Zeile gelesen wird, lohnt sich die saubere Trennung zwischen den Angaben nach Absatz 1 und der Kopie nach Absatz 3 und eine nachvollziehbare Begründung für jede Auslassung. Praktisch heißt das: Jede Schwärzung bekommt einen Vermerk mit dem Grund, jede weggelassene Quelle einen Hinweis, dass sie weggelassen wurde, und der gesamte Vorgang eine Zeitleiste. Wer später eine Beschwerde beantworten muss, beantwortet sie aus diesem Vermerk und nicht aus der Erinnerung.
Ein zweiter Punkt betrifft die Reihenfolge. Auskunft und Löschung sind zwei verschiedene Anträge, und sie werden gern in einem Schreiben gestellt. Beantworte zuerst die Auskunft, denn danach steht fest, welche Bestände es überhaupt gibt, und die Entscheidung über die Löschung lässt sich für jeden Bestand getrennt begründen. Umgekehrt löschst du sonst möglicherweise Daten, über die du kurz darauf Auskunft geben müsstest.
Dazu passende Kurse
Wer die schwierigen Stellen einmal geübt haben will, bevor das erste Anwaltsschreiben kommt, kann Betroffenenrechte im Kurs sicher beantworten lernen .
Weil eine Auskunft in angespannten Lagen vor allem verständlich sein muss, hilft daneben das Angebot rund um schriftliche Kommunikation .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Dürfen wir eine Ausweiskopie zur Identitätsprüfung verlangen?
Müssen wir alle E-Mails herausgeben, in denen der Name vorkommt?
Was kostet die Auskunft?
Müssen wir auch in Sicherungskopien suchen?
Quellen
- Artikel 12 und Artikel 15 DSGVO im Volltext
- § 34 BDSG, Auskunftsrecht der betroffenen Person
- EuGH, Urteil vom 4. Mai 2023, C-487/21, zum Begriff der Kopie
- EuGH, Urteil vom 12. Januar 2023, C-154/21, zur Nennung der Empfänger
- EuGH, Urteil vom 26. Oktober 2023, C-307/22, zu Motiv und Unentgeltlichkeit
- BAG, Urteil vom 27. April 2021, 2 AZR 342/20, zur Bestimmtheit des Antrags
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Anfragen beantworten, bevor die Frist knapp wird
Wie du einen Ablauf aufsetzt, der Eingang, Suche und Schwärzung in die richtige Reihenfolge bringt, gehst du bei cmt an echten Anfragen durch.