Auskunftsfalle Artikel 15 DSGVO: Warum eine Mail von ChatGPT Ihr Unternehmen teuer zu stehen kommen kann

Das Auskunftsrecht gemäß Artikel 15 DSGVO wird von vielen Unternehmern unterschätzt, da sie glauben, mit der Herausgabe der Stammdaten sei es getan. In der Realität verlangt das Gesetz jedoch eine detaillierte Auflistung aller verarbeiteten personenbezogenen Daten sowie deren spezifische Verarbeitungszwecke. Betroffene haben das Recht zu erfahren, welche Kategorien von Daten gespeichert wurden, wie lange diese aufbewahrt werden und auf welcher rechtlichen Basis dies geschieht. Besonders knifflig wird es, wenn Kopien sämtlicher Daten verlangt werden, was im Extremfall sogar die Herausgabe von E-Mails oder Gesprächsnotizen bedeuten kann. 

Auch die Herkunft der Daten muss lückenlos nachgewiesen werden, insbesondere wenn diese nicht direkt bei der Person erhoben wurden, etwa durch Gewinnspiele oder Empfehlungen. In dem eingangs erwähnten Fall forderte die Mitarbeiterin sogar die Metadaten der genutzten Softwareprogramme an, was zeigt, wie tiefgreifend diese Ansprüche sein können. Wenn ein Unternehmen hier keine klare Struktur in seiner Datenverwaltung hat, ist eine vollständige Beauskunftung innerhalb der gesetzlichen Monatsfrist fast unmöglich. Jedes Detail, das weggelassen wird, bietet der Gegenseite eine Angriffsfläche für Beschwerden bei der Aufsichtsbehörde, was wiederum den Fokus auf die gesamte Compliance des Unternehmens lenkt.

Ein wesentliches Problem bei Auskunftsanfragen sind Daten, die von Anfang an gar nicht hätten erhoben werden dürfen. Ein klassisches Beispiel aus der Praxis ist die Anforderung einer Meldebescheinigung von ausländischen Mitarbeitern ohne klaren Zweck oder die frühzeitige Abfrage einer Selbstauskunft durch Immobilienmakler. Solche Fehler kommen bei einer Auskunftsanfrage gnadenlos ans Licht, da man diese Daten entweder verschweigt – was rechtswidrig ist – oder sie offenlegt und damit das eigene Fehlverhalten dokumentiert. Wenn ein Anwalt oder ein versierter Datenschützer diese Auskunft prüft, erkennt er sofort, dass gegen den Grundsatz der Datensparsamkeit verstoßen wurde. 

Auch die Nutzung von Messenger-Diensten ohne entsprechende Einwilligung oder das Anfertigen und Veröffentlichen von Fotos ohne schriftliche Erlaubnis sind Stolpersteine, die erst bei einer offiziellen Anfrage zum echten Problem werden. Viele Unternehmen führen solche Prozesse aus Gewohnheit durch, ohne zu hinterfragen, ob die Rechtsgrundlage tatsächlich trägt. Sobald das Arbeitsverhältnis jedoch zerrüttet ist, werden genau diese Punkte genutzt, um Druck auszuüben. Es ist daher entscheidend, die Prozesse der Datenerhebung bereits beim ersten Kontakt, sei es bei einer Bewerbung oder einer Kundenanfrage, rechtssicher zu gestalten, um später nicht in die Auskunftsfalle zu tappen und angreifbar zu sein.

Bei jeder Auskunftsanfrage muss präzise dargelegt werden, auf welcher Rechtsgrundlage die Daten verarbeitet werden und wer die Empfänger dieser Informationen sind. Viele Unternehmen scheitern bereits an der Frage, ob eine Verarbeitung auf Basis eines Vertrages, einer Einwilligung oder eines berechtigten Interesses erfolgt. Besonders bei Bewerbungsprozessen über Plattformen wie Indeed oder via zentraler Info-E-Mail-Adressen, auf die viele Mitarbeiter Zugriff haben, verschwimmen die Verantwortlichkeiten oft. Die Angabe der Empfänger ist ebenfalls komplexer als gedacht, da hierzu nicht nur interne Abteilungen wie die Lohnbuchhaltung gehören, sondern auch externe Dienstleister und Steuerberater. 

Nutzt das Unternehmen Cloud-Tools für die Zeiterfassung oder das Projektmanagement, müssen auch diese Anbieter als Empfänger identifiziert und geprüft werden. Es reicht nicht aus, pauschal auf "Dienstleister" zu verweisen; die Kategorien müssen klar benannt sein. Oft fehlen im Hintergrund die notwendigen Auftragsverarbeitungsverträge, was bei einer detaillierten Prüfung sofort auffällt. Wer seine Hausaufgaben hier nicht gemacht hat, offenbart bei einer Auskunftsanfrage massive Lücken in seiner Datenschutzorganisation. Transparenz ist hierbei keine freiwillige Leistung, sondern eine gesetzliche Pflicht, deren Missachtung direkt in den Bußgeldbereich führt, da eine unvollständige Auskunft als vorsätzliche Verletzung der DSGVO gewertet werden kann.

Ein besonders kritischer Punkt in jeder Auskunftsanfrage ist die Übermittlung von Daten in Drittländer, insbesondere in die USA. Viele moderne Softwarelösungen, wie etwa kostenlose Gmail-Konten oder Cloud-basierte CRM-Systeme, speichern Daten auf Servern außerhalb der EU. In einer Auskunftsanfrage muss explizit angegeben werden, welche Garantien für diese Übermittlungen vorliegen, wie etwa Standardvertragsklauseln oder Angemessenheitsbeschlüsse. In der Praxis zeigt sich oft, dass Unternehmen Tools nutzen, für die keine ausreichenden Absicherungen bestehen oder bei denen die Datenschutzhinweise völlig veraltet sind. 

Wenn beispielsweise ein Messenger-Dienst ohne Einwilligung genutzt wurde oder Fotos von Workshops in sozialen Medien landen, ohne dass die betroffene Person zugestimmt hat, wird dies bei der Beauskunftung zum Verhängnis. Viele Unternehmer unterschätzen, dass auch die Nutzung von scheinbar harmlosen Tools eine komplexe Kette von Datenflüssen auslöst, die dokumentiert sein muss. Ohne ein sauberes Verzeichnis von Verarbeitungstätigkeiten und die entsprechenden Verträge mit den Softwareanbietern ist es unmöglich, eine rechtssichere Antwort zu formulieren. Wer hier auf die leichte Schulter reagiert, riskiert nicht nur Ärger mit dem Ex-Mitarbeiter, sondern auch eine Tiefenprüfung durch die Aufsichtsbehörden, die im schlimmsten Fall die Nutzung bestimmter Tools komplett untersagen können.

Der beste Weg, um bei einer Auskunftsanfrage gelassen zu bleiben, ist eine solide Vorbereitung durch ein funktionierendes Datenschutzmanagement. Das bedeutet, dass bereits heute ein Löschkonzept existieren muss, das festlegt, wie lange Daten von Kunden und Mitarbeitern gespeichert werden dürfen. Es ist fatal, erst im Moment der Anfrage darüber nachzudenken, warum bestimmte Unterlagen noch vorhanden sind, die eigentlich schon längst hätten vernichtet werden müssen. Ein sauberes System, in dem alle Einwilligungen und Auftragsverarbeitungsverträge zentral hinterlegt sind, spart im Ernstfall wertvolle Zeit und schont die Nerven. 

Die Erfahrung der letzten Jahre zeigt, dass die Unzufriedenheit von Menschen oft ein Ventil im Datenschutz sucht; wer hier seine Hausaufgaben gemacht hat, kann solchen Angriffen entspannt entgegensehen. Es ist ratsam, sich professionelle Unterstützung zu holen, um die eigenen Prozesse auf "saubere Füße" zu stellen und unbürokratische Lösungen für den Alltag zu finden. Durch ein kostenloses Erstgespräch bei Experten können die größten Risiken schnell identifiziert und beseitigt werden, bevor die nächste Überraschung im Briefkasten landet. 

Ein proaktiver Umgang mit dem Datenschutz schützt nicht nur vor Bußgeldern, sondern stärkt auch das Vertrauen von Kunden und Mitarbeitern in die Professionalität des Unternehmens und sorgt für einen dauerhaft sauberen Briefkasten.