Datentipp: Auskunfts­anfrage – ist die anfragende Person echt?

Neugier und andere Motivationen

Wer kann so fies sein?

Stellen Sie sich einmal folgendes vor. Nebenan sind neue Nachbarn eingezogen. Neugierig wie Sie sind, wollen Sie wissen, was die so alles machen. Sie wissen schon, wie die neuen Nachbarn heißen, und bekommen zufällig mit, dass diese etwas aus einem bestimmten Onlineshop geliefert bekommen. Um Ihre Neugier zu befriedigen, legen Sie sich eine neue E-Mailadresse an – auf den Namen der neuen Nachbarn.

Unter Ihrer neuen Mailadresse stellen Sie im Namen der neuen Nachbarn eine Auskunftsanfrage für Betroffene nach DSGVO bei dem genannten Onlineshop – Musterformulare stellen beispielsweise Datenschutz-Aufsichtsbehörden und die Verbraucherzentrale bereit. Mal sehen, was Sie so alles über Ihre neuen Nachbarn herausfinden.

Die Identität von Anfragenden prüfen, immer

Natürlich würden Sie das nie tun. Aber können Sie sich vorstellen, dass es Menschen gibt, die so etwas tun? Neben Neugierde kann es dafür eine ganze Reihe weiterer Gründe geben, beispielsweise Profiling für Geschäftsanbahnungen.
Dass Menschen manchmal tatsächlich so etwas tun, ist einer der Gründe, warum Unternehmen immer prüfen müssen, ob anfragende Personen die sind, die sie zu sein behaupten.

Mögliche Datenpannen bei der Datenauskunft

Auskunftsrecht der betroffenen Person

Betroffenenanfragen zum Thema Datenschutz müssen gemäß den Vorgaben von Artikel 15 der Datenschutzgrundverordnung beantwortet werden. Dafür haben wir 30 Tage Zeit. In aller Regel ist es schwierig genug, alle möglichen Datenquellen und Speicherorte auszumachen und zu recherchieren, ob Daten der betroffenen Person vorhanden sind. Dass unbedingt auch deren Identität überprüft werden muss, wird dabei schnell übersehen.

Keine Rechte Dritter verletzen

Wo steht, dass Sie das müssen? Das ergibt sich aus Artikel 15 der DSGVO. In Absatz 4 heißt es, durch die Übermittlung der Daten an die anfragende betroffene Person dürfen die Rechte und Freiheiten anderer nicht beeinträchtigt werden. Damit ist klar: Auskünfte dürfen nicht an fremde Personen erteilt werden, sondern nur direkt an die betroffene Person.

Vorsicht, Geldbuße droht!

Das Recht auf Auskunft gehört zu den wichtigsten Betroffenenrechten der Datenschutzgrundverordnung. Ein Verstoß dagegen kann mit der höheren möglichen Geldbuße, also 20 Millionen € bzw. 4 % des gesamten Konzernumsatzes im Vorjahr geahndet werden. Klar: Dass wegen einer falschen Auskunft oder Verletzung des Auskunftsrechts diese höchste aller Geldbußen gefordert wird, ist unwahrscheinlich. Das Risiko einer gesalzenen Strafzahlung besteht dennoch.

Auch Schadenersatz ist möglich

So gering die Eintrittswahrscheinlichkeit für die höchste aller Geldbußen sein mag: Dass es zu einer Geldbuße oder, etwa bei Überschreiten der Frist für die Beauskunftung oder bei fahrlässig erteilter Auskunft an den falschen Empfänger zu Schadenersatz kommen kann, hat sich in der Vergangenheit mehrfach gezeigt. Grund genug, Auskünfte wirklich nur Berechtigten zu erteilen.

Die Identität prüfen – aber wie?

Personalausweis – mit Kanonen auf Spatzen schießen

Sie sind also entschlossen, die Identität der Anfragenden zu prüfen, ehe Sie Personendaten herausrücken. Aber wie machen Sie das DSGVO-gerecht? Manche empfehlen konsequent: Lassen Sie sich eine Kopie des Personalausweises zuschicken. Felder, die es zur Identitätsfeststellung nicht zwingend braucht, können ja vorab geschwärzt werden. Geschwärzt oder nicht: Das ist die schärfste Waffe zur Identifizierung einer Person, die Sie zum Einsatz bringen können.

Infobox: Wann darf man Ausweise kopieren?

Das Personalausweisgesetz gibt vor, dass Kopien des Personalausweises nur mit Zustimmung des Ausweisinhabers zulässig sind und eine Ausweiskopie klar als Kopie zu erkennen sein muss. Das gilt für das Kopieren, das Fotografieren und das Einscannen des Ausweises.

Die DSGVO bestimmt in Artikel 5, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn es dem Zweck angemessen und auf das unbedingt notwendige Maß beschränkt ist. Sie dürfen nicht länger als nötig gespeichert werden und sind anschließend zu löschen.

Zu beachten ist der Grundsatz der Datenminimierung. Um die Identität einer Person festzustellen, reichen in der Regel Vor- und Nachname, die Adresse und gegebenenfalls die Gültigkeitsdauer. Nach erfolgter Identifizierung ist die Kopie zu vernichten, mit einem Aktenvermerk „Ausweiskopie geprüft“ lässt sich der Vorgang dokumentieren und nachvollziehen.