Auskunftsanfrage erhalten - Was nun? Schritt für Schritt

Eine Auskunftsanfrage erkennen

Eine Auskunftsanfrage (auch bekannt als DSAR - Data Subject Access Request) ist die häufigste Anfrage, die Sie als Unternehmer erhalten können. Ein Kunde, Mitarbeiter, Bewerber oder Website-Besucher bittet Sie mitzuteilen, welche personenbezogenen Daten Sie über ihn gespeichert haben.

Die Anfrage muss nicht formell sein. “Welche Daten haben Sie über mich?” in einer E-Mail ist bereits eine Auskunftsanfrage. Sie brauchen dafür kein Formular.

Schritt 1: Registrieren Sie die Anfrage

Notieren Sie sofort:

• Wer die Anfrage stellt
• Wann Sie diese erhalten haben (die Monatsfrist beginnt jetzt)
• Über welchen Kanal sie eingegangen ist
• Was genau gefragt wird

Schritt 2: Überprüfen Sie die Identität

Bevor Sie Daten herausgeben, müssen Sie sicher sein, dass Sie mit der richtigen Person kommunizieren. Andernfalls riskieren Sie eine Datenschutzverletzung, indem Sie Daten an die falsche Person weitergeben.

Wie überprüfen Sie?

• Wenn die Person bereits ein Konto bei Ihnen hat: lassen Sie die Anfrage über dieses Konto bestätigen
• Wenn Sie die Person kennen (z.B. ein Mitarbeiter): eine Bestätigung über die bekannte E-Mail-Adresse reicht aus
• Bei unbekannten Personen: bitten Sie um eine Kopie eines Ausweisdokuments. Bitten Sie den Antragsteller, die Ausweisnummer und das Foto zu schwartzen - diese benötigen Sie nicht

Nehmen Sie nicht mehr als nötig: die Identitätsprüfung muss verhältnismäßig sein.

Schritt 3: Sammeln Sie die Daten

Durchsuchen Sie alle Ihre Systeme, in denen personenbezogene Daten des Antragstellers gespeichert sein könnten:

• CRM-System - Kundendaten, Notizen, Kommunikationsverlauf
• E-Mail-System - Korrespondenz mit der Person
• Buchhaltung - Rechnungen, Zahlungsdaten
• HR-System - wenn es sich um einen (ehemaligen) Mitarbeiter handelt
• Website - Formularübermittlungen, Kontodaten
• Papierakten - Verträge, Korrespondenz

Seien Sie gründlich. Wenn Sie später Daten vergessen, kann der Antragsteller eine Beschwerde einreichen.

Schritt 4: Erstellen Sie Ihre Antwort

Ihre Antwort muss folgende Informationen enthalten:

Die Daten selbst

Eine Kopie aller personenbezogenen Daten, die Sie über die betroffene Person verarbeiten.

Zusätzliche Informationen

• Verarbeitungszwecke - warum Sie die Daten verarbeiten
• Datenkategorien - welche Arten von Daten Sie haben
• Empfänger - mit wem Sie die Daten geteilt haben
• Aufbewahrungsfrist - wie lange Sie die Daten aufbewahren
• Rechte - die betroffene Person hat Recht auf Berichtigung, Löschung, Einschränkung und Widerspruch
• Beschwerderecht - die betroffene Person kann eine Beschwerde bei der Aufsichtsbehörde einreichen
• Quelle - wenn Sie die Daten nicht von der betroffenen Person selbst erhalten haben, woher sie stammen

Schritt 5: Senden Sie die Antwort

• Frist - innerhalb eines Monats nach Eingang der Anfrage
• Verlängerung - bei komplexen Anfragen können Sie um zwei Monate verlagern, informieren Sie den Antragsteller aber innerhalb des ersten Monats
• Format - wurde die Anfrage elektronisch gestellt, stellen Sie die Daten in einem gängigen elektronischen Format bereit (PDF, Excel)
• Kosten - die erste Anfrage ist kostenlos. Bei wiederholten oder offensichtlich übermäßigen Anfragen dürfen Sie ein angemessenes Entgelt erheben
• Sicherheit - senden Sie die Daten über einen sicheren Kanal, nicht als unverschlüsselten E-Mail-Anhang

Schritt 6: Dokumentieren

Halten Sie fest, wie Sie die Anfrage bearbeitet haben: wann eingegangen, wann beantwortet, welche Daten bereitgestellt, welche Systeme durchsucht. Dies ist Ihr Nachweis, falls die betroffene Person später eine Beschwerde einreicht.

Häufige Fehler

• Zu spät antworten - ein Monat vergeht schnell. Registrieren Sie die Anfrage sofort und beginnen Sie am selben Tag
• Daten vergessen - durchsuchen Sie alle Systeme, nicht nur Ihr CRM
• Keine Identitätsprüfung - Daten an die falsche Person weiterzugeben ist eine Datenschutzverletzung
• Zu viel schwartzen - Sie dürfen Daten Dritter schwartzen, aber nicht die eigenen Daten des Antragstellers