Kosten der Verspätung nicht unterschätzen
Sie sollten Ihre Mitarbeiter dringend darin schulen, Anfragen aus Auskunft zu personenbezogenen Daten am Besten noch am selben Tag, aber mindestens in der selben Woche selbst zu bearbeiten oder an Ihren Datenschutzbeauftragten weiter zu geben.
Jüngst ist eine Firma zu 750 € Schadenersatz verurteilt worden, weil sie einem Bewerber die Auskunft erst 19 Tage später erteilt hat (AG Duisburg, 5 CA 877/23 vom 03.11.2023).
Unverzüglich ist nicht „ein Monat“
Hartnäckig hält sich das Gerücht, man hätte einen Monat zur „Beauskunftung“ Zeit. Aber alle Betroffenenrechte nach Art. 15 bis 22 DSGVO sind gemäß Art. 12 Abs. 3 DSGVO „unverzüglich, in jedem Fall aber innerhalb eines Monats“ zu gewähren.
Der Normalfall ist also unverzüglich. Das bedeutet: So schnell wie möglich, oder wie Juristen sagen: „ohne schuldhaftes Zögern“. Der Zusatz besagt nur, dass ein Monat sogar in außergewöhnlich schwierigen Fällen möglich sein muss. In extremen Ausnahmesituationen, etwa nach einen Hack, darf die Frist um zwei Monate verlängert werden. Das müssen Sie aber nachprüfbar begründen können. Also besser vergessen Sie es gleich wieder.
Praktisch bedeutet das, dass eine Auskunftsanfrage noch am gleichen Tag erstmals bearbeitet werden sollte. Falls Sie eine „Nullauskunft“ geben können, müssen Sie innerhalb einer Woche dazu in der Lage sein, mitzuteilen, dass sie keine Daten des Betroffenen gespeichert haben. Dies wäre im obigen Beispielsfall richtig gewesen.
Komplexere Fälle darf man zum Datenschutzbeauftragten oder Hausjuristen schicken, aber im Normalfall sollte auch dann innerhalb von zwei Wochen alles erledigt sein.
Falls es länger dauert, etwa wegen eines Urlaubes ohne Vertretung, sprechen Sie das unbedingt vorab mit Ihrem Datenschutzbeauftragten ab!
Weiterführend
-
bbg: Recht auf Auskunft vom 4.9.2023
-
bbg: Haftung im Datenschutz 16.8.2023
Autor: Florian Thomas Hofmann, Data Privacy Legal Consultant, 29.11.2023
