„Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben." Ein Satz, ein Recht (Art. 15 DSGVO) – und in vielen Unternehmen der Beginn einer mehrtägigen Schnitzeljagd durch Excel-Listen, Outlook-Ordner und das CRM. Dabei ist die Anfrage selbst harmlos. Anstrengend wird sie nur, wenn die Daten nicht dort liegen, wo man sie findet.
Was die Auskunft enthalten muss
Es geht um deutlich mehr als „hier sind Ihre Kontaktdaten". Vollständig ist eine Auskunft erst, wenn sie diese Punkte abdeckt:
- Bestätigung, dass überhaupt Daten verarbeitet werden
- Welche Daten das sind (Kategorien personenbezogener Daten)
- Zu welchem Zweck sie verarbeitet werden
- An wen sie weitergegeben wurden oder werden – inklusive Empfängern in Drittländern
- Wie lange sie gespeichert werden (oder nach welchen Kriterien sich die Dauer bemisst)
- Woher die Daten stammen, wenn nicht vom Betroffenen selbst
- Der Hinweis auf Berichtigung, Löschung, Einschränkung, Widerspruch und das Beschwerderecht bei der Aufsichtsbehörde
- Eine Kopie der Daten – die erste kostenlos, bei elektronischer Anfrage in einem gängigen elektronischen Format
Die drei Punkte, an denen es in der Praxis klemmt, sind fast immer dieselben: Weitergaben, Herkunft und Speicherdauer. Wer die nicht laufend pflegt, kann sie im Nachhinein nicht rekonstruieren.
Die Fristen
- Ein Monat ab Eingang des Antrags – das ist die Regelfrist
- Bis zu zwei Monate Verlängerung sind möglich, wenn die Anfrage komplex ist. Aber: Die Verlängerung müssen Sie innerhalb des ersten Monats mitteilen, mit Begründung
- Werden Sie nicht tätig, müssen Sie auch das binnen eines Monats mitteilen – inklusive Hinweis auf Beschwerde bei der Aufsichtsbehörde und gerichtlichen Rechtsbehelf
- Kam der Antrag elektronisch, antworten Sie elektronisch
Und wenn Sie die Person nicht identifizieren können? Dann – und nur dann – dürfen Sie die Auskunft verweigern. Ein leeres Suchergebnis über alle relevanten Tabellen ist dafür Ihr Nachweis.
Der Ablauf in cobra
Wenn das CRM vorbereitet ist, wird aus dem Projekt eine Routine:
- Adresse suchen – Volltextsuche über alle relevanten Tabellen, damit auch Einträge in Zusatztabellen gefunden werden
- Modul cobra Datenschutz aufrufen: Es sammelt alle personenbezogenen Daten zu dieser Adresse an einer Stelle
- Umfang auswählen: Welche Bereiche soll die Auskunft enthalten – Stammdaten, Historie, Weitergaben, Herkunft, Zwecke
- Ausgeben als PDF oder CSV
- Versenden über eine vorbereitete Brief- oder Mailvorlage – mit den Pflichthinweisen auf die Betroffenenrechte, die Sie einmal formulieren und danach immer wieder verwenden
Realistisch sind das wenige Minuten. Das ist der ganze Unterschied zwischen einem eingerichteten und einem uneingerichteten System – und der Grund, warum wir die DSGVO-Einrichtung als eigene Leistung anbieten.
Drei Tipps aus der Praxis
Legen Sie die Vorlagen an, bevor Sie sie brauchen. Auskunft erteilen, Fristverlängerung mitteilen, Antrag ablehnen – drei Vorlagen, einmal sauber formuliert (idealerweise vom Datenschutzbeauftragten abgesegnet), sparen Ihnen im Ernstfall den Zeitdruck.
Dokumentieren Sie den Vorgang. Wann kam die Anfrage, wann ging die Antwort raus, was wurde übermittelt? Die Rechenschaftspflicht gilt auch hier – am einfachsten als Eintrag in der Kontakthistorie.
Prüfen Sie die Identität. Auskunft an die falsche Person ist schlimmer als keine Auskunft. Bei Zweifeln dürfen Sie zusätzliche Informationen zur Identifizierung anfordern.
Mehr zu den cobra Funktionen auf der Seite DSGVO im CRM, den Gesamtüberblick gibt die DSGVO-Checkliste. Und wenn Sie Ihr cobra auskunftsfähig machen möchten: Wir richten das ein.