Auskunftsersuchen ohne Reaktion

Auskunftsersuchen ohne Reaktion – Was nun?

Grundsätzlich gilt nun einmal für Auskunftsersuchen gem. Art. 15 DSGVO, daß wir verpflichtet sind auf ein derartiges Auskunftsersuchen innerhalb einer Frist von 1 Monat zu reagieren. Erfolgt darauf innerhalb der vorgesehenen Frist keierlei Reaktion auf das Ersuchen, dann sind wir ja berechtigt eine Beschwerde bei der DSB zu erstatten. Klingt sehr einfacht, ist es aber im betrieblichen Alltag dann doch nicht.

Sind alle Identifikationsvoraussetzungen erfüllt?

Bevor wir jetzt großartig eine Beschwerde vor der DSB in die Wege leiten sollten wir uns selbst ganz ehrlich die Frage stellen ob wir allen Identifikationsvoraussetzungen nachgekommen sind. Vielleicht ist ein Mangel dieser Verpflichtung Grund für das Ausbleiben der Reaktion. Selbst sollte Letzteres der Fall sein würde ich doch erwarten, falls Probleme bei der Identifikation vorliegen, daß der Counterpart diese Information zumindest in irgendeiner Weise kommuniziert. Bleibt in diesem Fall die Kommunikation komplett aus, dann kann man das als ein Indiz werten, daß beim Counterpart vielleicht überhaupt kein Prozess existiert um mit derartigen Fragen umzugehen.

Wir müssen uns die Frage der Identifikation stellen. Hier würde ich die Ansicht vertreten, daß Reispass bzw. Ausweiskopie oder digitale Signatur als ordnungsmäßige Identifikation anzusehen sind. Liegt keine anerkennbare Identifikation vor, würde ich dennoch dagegen argumentieren ein derartigen Antrag von vornherein zu vernichten. Hier würde ich dem Counterpart kommunizieren daß die Identifikation nicht ausreichend ist. Natürlich ist in diesem Schreiben eine entsprechende Nachfrist zu setzen und dieses per Einschreiben zu versenden.

Identifikationsvoraussetzungen

Zunächst geht es hier einmal um die Frage daß der betreffende Datensatz eindeutig indentifiziert werden kann. Bei sehr häufigen Name kann das mühsam werden. Es sei denn der Antragsteller ist im Unternehmen ohnehin schon “amtsbekannt”. Es muss in jedem Fall sichergestellt sein, daß der Betroffene jener ist der im entsprechenden Datensatz abgebildet ist. Dazu wird man um eine 2-Stufen Identifikation wohl nicht herumkommen. Um dieser betrieblichen Erfordernis nachzukommen würde ich auf einer Ausweiskopie bestehen und unter Umständen noch mit der im Stammdatensatz hinterlegten Telefonnummer (sofern vorhanden) gegenchecken. Als alternative zur Ausweiskopie ist natürlich eine digitale Signatur mit der Ausweiskopie gleichzusetzen.

Fristverlängerung Ja oder Nein?

Wurde der Antrag korrekt eingebracht stellt sich nach der 1 Montsfrist grundsätzlich die Frage der  Fristverlängerung. Die DSGVO spricht hier eine eindeutige Sprache. Nach dem Verstreichen dieser Frist sind wir berechtigt Beschwerde bei der DSB einzureichen. Nun ist aber im betrieblichen Alltag nichts Schwarz oder Weiß. Es gibt ja legitime Gründe warum es zu einer Überschreitung der Frist seitens des Counterparts kommen kann. Spam Filter, eMail ist tatsächlich nicht angekommen, Krankenstand bzw. längere Abwesenheit des DS-Managers sind ja alles legitime Gründe warum es zu einer Überschreitung der Frist gekommen sein kann. Dies ändert natürlich nichts an der Tatsache, daß hier eine Verletzung der DSGVO vorliegt und ändert auch nichts an der Rechtswidrigkeit.

Als praktikablen Mittelweg würde ich für folgende Vorgehensweise plädieren:
Setzung einer Nachfrist von 2 Wochen und der Ankündigung, daß nach dem Verstreichen dieser Nachfrist eine Beschwerde bei der DSB eingereicht wird. Das betreffende Schreiben würde ich auf jeden Fall per Einschreiben verschicken. Dadurch liegt auf jeden Fall eine durchgehende Dokumentation des gesamten Vorgangs vor. Darüber hinaus wird damit auch klar, daß wir sogar mehr unternommen haben als wir gesetzlich verpflichtet wären um das Probelem – ohne Einschaltung der DSB – zu lösen.

Nach Verstreichung der Nachfrist

Was nach Verstreichung der Nachfrist rechtlich zu tun ist, das ist ja ziemlich klar. Es ist eine Beschwerde bei der DSB einzubringen. Die Frage die sich nun stellt ob man den Counterpart darüber informieren möchte, daß nun eine Beschwerde bei der DSB eingebracht wird.

Ich würde hier gegen eine derartige Vorgehensweise argumentieren. Der Antrag wurde nachweislich korrekt eingebracht. Die Identifikation hatte auch die gesetzlich erforderliche Form. Es liegt eine druchegehende Dokumentation über die Zustellung des Antrags vor. Hier ist meiner Ansicht nach sowohl eine Zustellbestätigung per eMail oder die Bestätigung des Einschreibens mehr als nur ausreichend. Die gesetzlich nicht erforderliche Nachfriststzung ist ebenfalls dokumentiert. Trotz all dieser Bemühungen ist das Art. 15 Auskunftsersuchen unbeantwortet geblieben. Hier würde ich den Standpunkt vertreten, daß beim Counterpart der entpsrechende Prozess nicht vorhanden ist und daher eine 3. Kommunikation eigentlich nur ein unnötiger zusätzlicher Aufwand ist.