Auskunftsersuchen: Muster für einen „Daten-Kontoauszug“
Sowohl öffentliche als auch nicht-öffentliche Stellen haderten mit dieser Regelung der Datenschutz-Grundverordnung (DSGVO), als das Recht auf Auskunft bekannt wurde.
Doch ein Hilfsmittel, das alle Verantwortlichen haben sollten, eignet sich sehr gut, um auf seiner Grundlage Auskunft zu geben.
„Rettungsanker“ Verzeichnis der Verarbeitungstätigkeiten
Wie schon im Artikel über die Informationspflichten nach Art. 13 DSGVO festgestellt (s. Heft 02/2019, Seite 15 f.), ist das Verzeichnis der Verarbeitungstätigkeiten (VVT) die unabdingbare Basis, um die Betroffenenrechte geordnet und mit zumindest überschaubarem Aufwand erfüllen zu können.
Denn auch das Auskunftsrecht listet in Art. 15 Abs. 1 Buchst. a–h DSGVO vieles auf, was uns aus den Vorgaben zum VVT bekannt vorkommt. Und so liegt es nur nahe, das in Listenform vorliegende Verzeichnis dahingehend zu modifizieren, dass es sich für diese Aufgabenstellung nutzen lässt.
Im Grunde nichts Neues
Wie in so vielen Bereichen des Datenschutzes war und ist es bei diesem Thema ebenfalls so, dass die DSGVO nichts grundlegend Neues in die Welt gesetzt hat.
Ein entsprechendes Auskunftsrecht kannten bereits die früheren Datenschutzgesetze. Die Grundverordnung hat es ein wenig umfassender gestaltet und durch die öffentliche Diskussion wohl erst so richtig ins Bewusstsein der Betroffenen und Verantwortlichen gerückt.
Überlegungen im Vorfeld
Bevor wir uns anschauen, wie sich im Ergebnis die Auskunft ganz praktisch bewerkstelligen lässt, zunächst noch ein paar Betrachtungen, die Sie im Vorfeld anstellen sollten:
- Ist die Identität des Auskunftsersuchenden eindeutig nachgewiesen?
Da das Recht nach Art. 15 DSGVO nicht dazu führen darf, dass unberechtigte Dritte sich die Daten auf dem Serviertablett liefern lassen, ist dieser Punkt unbedingt zu klären!
In Art. 12 Abs. 6 nennt die DSGVO ausdrücklich die Möglichkeit, die Identität festzustellen.
- Ist der Betroffene bereit, die Anfrage einzugrenzen?
Da eine Generalauskunft bei den Kommunen (und ebenso in Unternehmen) einen erheblichen Aufwand auslöst, kann ein konkreter Anlass oder ein bestimmtes Thema dazu führen, deutlich schneller und effektiver zu reagieren. Doch nicht immer kann oder will der Betroffene Einschränkungen treffen.
Je nach Einzelfall könnte das aber zu Folgendem führen:
- Die Antwortfrist verlängert sich um weitere zwei Monate (Art. 12 Abs. 3 Satz 2 DSGVO).
- Die Kommune kann ein angemessenes Entgelt festsetzen (Art. 12 Abs. 5 Buchst. a DSGVO; bleibt es bei einer uneingeschränkten Prüfung des kompletten VVT, ist die Vorgabe „exzessiv“ aus meiner Sicht gegeben).
- Der Verantwortliche kann die komplette Auskunft verweigern (Art. 12 Abs. 5 Buchst. b DSGVO).
Schritt für Schritt zum Ergebnis
Ob am Ende diese Optionen zum Zuge kommen oder nicht, soll hier nicht Gegenstand der Ausführungen sein. Es geht vielmehr um die Frage: Wie lässt sich die Auskunft leisten?
Hier bietet es sich an, das VVT zu einem „Daten-Kontoauszug“ zu modifizieren: Wie im Muster (xls-Datei) zu sehen ersetzt die konkrete Angabe der Daten des Auskunftsersuchenden die Spalte „Kategorien der betroffenen Personen“.
Dort, wo die Menge der Daten problemlos innerhalb der Tabelle Platz findet, sind die Daten eingetragen. Liegen mehr Angaben vor, lässt sich das mit entsprechenden Anlagen lösen.
In Klammern erfolgt die Nennung der Quelle gemäß Art. 15 Abs. 1 Buchst. g DSGVO.
Die Praxis
Die Praxis in den Rathäusern sieht nun so aus, dass die jeweiligen Fachbereiche zunächst die Liste mit leerer Datenspalte erhalten mit der Bitte, die personenbezogenen Daten des Antragstellers einzutragen.
Die Rückläufe führt dann die Person, die für die Bearbeitung der Anfrage zuständig ist, zusammen und vereint sie zu einer Gesamtauskunft.
Dieses Dokument bzw. diese Datei erhält schließlich der Betroffene unter Beachtung von Art. 12 Abs. 3 Satz 4 DSGVO.
Wer das Auskunftsrecht auf diese Weise erfüllt, erkennt einmal mehr die Durchgängigkeit der DSGVO-Denkweise: Transparenz schaffen, indem eine Übersicht aller datenschutzrelevanten Vorgänge im konkreten Einzelfall als Basis für dessen Bearbeitung dient.
