Welche Frist gilt?
Nach dem DSG wird die Auskunft in der Regel innert 30 Tagen erteilt (Art. 25 Abs. 7 DSG). Ist das nicht möglich, muss das Unternehmen die betroffene Person benachrichtigen und ihr mitteilen, bis wann die Auskunft erfolgt (Art. 18 DSV).
Nach der DSGVO ist die Auskunft unverzüglich, spätestens aber innert eines Monats zu erteilen. Die Frist lässt sich um weitere zwei Monate verlängern, wenn Komplexität oder Anzahl der Anträge das erfordern; die Person ist innert des ersten Monats darüber zu informieren, mit Begründung (Art. 12 Abs. 3 DSGVO).
Was muss die Auskunft enthalten?
Beide Gesetze verlangen mehr als eine Liste von Daten:
| Inhalt | DSG (Art. 25 Abs. 2) | DSGVO (Art. 15) |
|---|---|---|
| Die bearbeiteten Personendaten als solche | ja | ja, als Kopie |
| Zweck der Bearbeitung | ja | ja |
| Aufbewahrungsdauer oder Kriterien dafür | ja | ja |
| Herkunft, wenn nicht bei der Person beschafft | ja, soweit verfügbar | ja, soweit verfügbar |
| Empfänger oder Kategorien von Empfängern | gegebenenfalls | ja |
| Automatisierte Einzelentscheidung und ihre Logik | gegebenenfalls | gegebenenfalls |
| Identität und Kontaktdaten des Verantwortlichen | ja | – |
| Hinweis auf weitere Rechte und das Beschwerderecht | – | ja |
Wie prüft man die Identität?
Auskunft erhält nur die berechtigte Person. Wer die Daten an die falsche Person herausgibt, verursacht selbst eine Datenschutzverletzung. Die Prüfung soll angemessen sein: eine Kopie eines Ausweises, eine Anmeldung über ein bestehendes Kundenkonto oder eine Video-Identifikation – je nachdem, wie heikel die Daten sind.
Warum ist Vollständigkeit so schwierig?
Die Daten einer Person liegen in vielen Anwendungen, Ablagen und Postfächern. Manche Systeme lassen sich direkt abfragen, bei anderen müssen die Systemverantwortlichen nachsehen. Gleichzeitig läuft die Frist, und am Ende muss nachvollziehbar sein, wer was geliefert hat.
Bewährt hat sich, einmal festzulegen, welche Systeme zu einer Auskunft gehören, wer dafür verantwortlich ist und welche Angaben die Antwort enthält. Dann wird jede Anfrage gleich bearbeitet, Fristen werden überwacht, und jeder Schritt ist festgehalten.
Wann darf die Auskunft eingeschränkt werden?
Das DSG erlaubt, die Auskunft zu verweigern, einzuschränken oder aufzuschieben, etwa wenn ein Gesetz das vorsieht, überwiegende Interessen Dritter es erfordern oder das Begehren offensichtlich unbegründet oder querulatorisch ist (Art. 26 DSG). Die Gründe sind der Person mitzuteilen. Die DSGVO kennt ähnliche Grenzen bei offenkundig unbegründeten oder exzessiven Anträgen (Art. 12 Abs. 5 DSGVO).