Kleines Unternehmen hat Auskunftsanfrage erhalten – was muss es jetzt tun?

Eine Auskunftsanfrage nach Art. 15 DSGVO müssen Sie unverzüglich, spätestens innerhalb eines Monats beantworten. Das gilt für jedes Unternehmen, auch für Solo-Selbstständige und Kleinunternehmen. Wichtig ist, dass die Antwort vollständig, korrekt und sicher zugestellt wird. Genau dort passieren die meisten Fehler.

Jede Person, über die Sie Daten verarbeiten, darf von Ihnen wissen wollen, was Sie über sie gespeichert haben. Das können Kunden, Interessenten, Mitarbeiter, Bewerber oder Newsletter-Abonnenten sein. Die Anfrage braucht keine bestimmte Form. Auch eine kurze Mail oder ein Satz am Telefon reicht aus.

Ein Monat ab Eingang. Nur in begründeten Ausnahmefällen lässt sich die Frist verlängern, und auch das müssen Sie der Person rechtzeitig mitteilen. Schweigen oder Abwarten ist keine Option.

Wer die Anfrage zum ersten Mal bekommt, denkt: “Ich schicke ihm einfach seine Kundendaten.” Das reicht in der Regel nicht. Die Auskunft umfasst deutlich mehr als eine Datenkopie, und die Daten liegen selten nur an einer Stelle. Sie stecken im Postfach, in der Buchhaltung, im Newsletter-Tool, im Messenger und oft auch in Papierakten. Dazu kommen die Fragen, ob die Anfrage echt ist, was Sie schwärzen müssen und wie Sie die Antwort sicher zustellen.

• Die Auskunft ist unvollständig. Ein vergessenes System genügt, und die Beschwerde bei der Aufsichtsbehörde ist da.
• Eingesetzte Tools oder Programme bieten keine Rechtsgrundlage nach DSGVO
• Daten werden nach Eingang der Anfrage noch schnell “aufgeräumt”. Das macht die Lage schlimmer.
• Die Antwort geht an die falsche Person oder unverschlüsselt raus. Dann haben Sie aus einer Anfrage eine Datenpanne gemacht.
• Die Anfrage wird als “Schikane” abgetan. Ob und wann Sie ablehnen dürfen, ist enger gefasst, als viele denken.

Die betroffene Person kann sich bei der Datenschutz-Aufsichtsbehörde beschweren und unter Umständen Schadensersatz verlangen. Die Behörde kann Bußgelder verhängen. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.