Umgang mit Auskunftsanfragen oder Widersprüchen von Kunden, Gästen, Patienten oder Beschäftigten

Achtung: Die Frist ist „unverzüglich“ und spätestens innerhalb eines Monats ab Antragstellung!

Unterschätzen Sie das Thema nicht, denn es hat sich „rumgesprochen“. Kürzlich hatte das Arbeitsgericht Oldenburg einen Schadenersatzanspruch zugunsten eines Arbeitnehmers in Höhe von 10.000 € ausgesprochen, weil der Arbeitgeber dem Auskunftsverlangen des Beschäftigten nicht rechtzeitig – also spätestens innerhalb eines Monats nach Antragstellung – nachgekommen ist.

Das Recht auf informationelle Selbstbestimmung bildet den Kern des Datenschutzes. Jede Person, deren Daten in Ihrem Unternehmen verarbeitet werden, hat Rechte bezüglich aller sich auf sie beziehenden Daten des jeweiligen Betroffenen.

Hierzu zählt vor allem das Recht auf Auskunft (Art. 15 DSGVO). Zunächst ist zu prüfen, ob überhaupt personenbezogene Daten einer Person verarbeitet werden. Trifft das zu, dann hat die Person auch ein Recht darauf zu erfahren, welche Daten dies im Einzelfall konkret sind und sie hat gleichzeitig einen Anspruch auf Herausgabe einer Kopie (Art. 15 Abs. 3 DSGVO). Folgende Informationen müssen im Rahmen einer Auskunft zur Verfügung gestellt werden können:

1. Zu welchen Zwecken erfolgt die Verarbeitung?
2. Welche Kategorien von Daten werden verarbeitet?
3. Woher haben sie die Daten erhalten?
4. Welche Empfänger der Daten gab und gibt es?
5. Wie lange werden die Daten gespeichert?
6. Information über weitere Rechte (Löschung, Berichtigung, Einschränkung, Widerspruch).
7. Information über die Möglichkeit der Beschwerde bei der Aufsichtsbehörde.
8. Information über das Bestehen einer automatisierten Entscheidungsfindung – Profiling und die involvierte Logik.

Im Einzelfall können das Zusammentragen und Bearbeiten dieser Anfragen einen erheblichen Arbeitsaufwand verursachen und es steht nur ein kurzes Zeitfenster zur Verfügung.

Das verantwortliche Unternehmen hat der betroffenen Person Informationen unverzüglich, in jedem Fall jedoch innerhalb eines Monats nach Eingang des Antrages des Betroffenen beim Unternehmen, zur Verfügung zu stellen.

Deshalb müssen Sie im Unternehmen organisatorisch sicherstellen, dass jeder Antrag bei Eingang dokumentiert und durch eine Fachkraft bearbeitet wird.

Über das o.g. Auskunftsrecht hinaus hat die betroffene Person zudem ein Recht auf Berichtigung, ein Recht auf Löschung oder auch Einschränkung der Verarbeitung, Datenübertragbarkeit und unter bestimmten Bedingungen zudem ein Recht auf Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten.

Wichtig zu wissen: Sollten Sie keinerlei Daten der anfragenden Person in Ihrem Unternehmen verarbeiten, dann muss auch dazu Stellung genommen und eine sog. Negativauskunft erteilt werden.

Die Bearbeitung und Beantwortung derartiger Ersuchen muss ebenfalls innerhalb einer Frist von einem Monat ab Antragseingang erfolgen. Lassen Sie keine Zeit verstreichen und warten Sie nicht auf anwaltliche oder aufsichtsbehördliche Post!

Was ist für Sie zu tun?

Etablieren Sie in Ihrem Unternehmen klare Regeln, wie mit der Geltendmachung von Rechten der Betroffenen umzugehen ist.

• Schritt 1: Benennen Sie intern zuständige Personen und stellen Sie sicher, dass alle Kollegen sich im Falle einer derartigen Anfrage an diesen benannten Ansprechpartner wenden. Etablieren Sie beispielsweise eine separate E-Mail-Adresse (z.B. datenschutz@….de), um die Bearbeitung in Ihrem Unternehmen sicherzustellen. Zusätzlich informieren Sie uns als externen Datenschutzbeauftragten (dsb-nord@ecovis.com). Wir stimmen uns gemeinsam mit Ihnen über das weitere Vorgehen ab und unterstützen Sie beim Antwortschreiben und der internen Dokumentation.
• Schritt 2: Stellen Sie sicher, dass Sie den Betroffenen eindeutig identifizieren können.
• Schritt 3: Prüfen Sie, in welchen Systemen die Daten der anfragenden Person verarbeitet werden. Sofern Dienstleister beauftragt wurden und diese personenbezogene Daten des Betroffenen verarbeiten, muss – je nach Anfrage – beispielsweise auch dazu Auskunft erteilt werden oder ein möglicher Widerspruch oder Löschbegehren auch dem Vertragspartner zur Kenntnis gegeben werden. Ein gut gepflegtes Verzeichnis der Verarbeitungstätigkeiten ist hilfreich.

Für Fragen stehen wir gern zur Verfügung. Kommen Sie jederzeit auf uns zu!