Data-Breach-Management: Datenschutzverletzungen dokumentieren

Alle Personengruppen, von denen ein Unternehmen personenbezogene Daten verarbeitet, gehören zu den sog. Betroffenen. Diese können eine Betroffenenanfrage stellen. Wenn Sie sich nicht sicher sind, ob ein Unternehmen personenbezogene Daten von Ihnen verarbeitet, können Sie ebenfalls eine Betroffenenanfrage stellen, um das herauszufinden. Verarbeitet das Unternehmen keine personenbezogenen Daten von Ihnen, erhalten Sie sodann eine sog. Negativauskunft.

Auf jeden Fall, denn die DSGVO verlangt von Unternehmen eine aktive Informationspflicht, sobald diese personenbezogenen Daten verarbeiten. Betroffene Personen, deren personenbezogene Daten verarbeitet werden, müssen also aktiv über diese Tatsache informiert werden. Dies ist im Übrigen auch der Fall, wenn die personenbezogenen Daten freiwillig zur Verfügung gestellt werden (wie bei einem Bewerbungsverfahren).

Ja, die Beantwortung von Betroffenenanfragen gehört durch die DSGVO zu den Pflichten von Unternehmen. Diese müssen die Beantwortung solcher Anfragen dokumentieren. Wenn Unternehmen es überdies versäumen, auf solche Anfragen von Betroffenen zu reagieren, dann können Betroffene Beschwerde bei der zuständigen Aufsichtsbehörde einreichen.

I.d.R. finden Betroffenenanfragen schriftlich statt und sollten auch auf diesem Weg – ggf. nach vorheriger Identitätsfeststellung – beantwortet werden, damit Unternehmen einen Beweis für die Bearbeitung der Anfrage haben. Grundsätzlich könnte eine Auskunftserteilung aber auch, sofern explizit gewünscht, mündlich erfolgen. Eine Betroffenenanfrage kann dann mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde und falls dies von der betroffenen Person verlangt wurde (Art. 13 Abs. 1 S. 3 DSGVO). Da es aber bei einer mündlichen Auskunft keine Dokumentation von der Beantwortung der Anfrage gibt (Dokumentation bzw. Rechenschaftspflicht gem. Art. 5 II DSGVO), sollte von dieser Form der Auskunftserteilung eher Abstand genommen werden.

Betroffenenanfragen müssen innerhalb eines Kalendermonats beantwortet werden (Maximalfrist). Diese Frist kann nur in begründeten Fällen verlängert werden. Die Zeit läuft ab dem Tag, an dem die diese eingetroffen ist. Lässt ein Unternehmen diese Frist verstreichen, dann können sich Personen, die keine Antwort auf Ihre Betroffenenanfrage erhalten haben, an den jeweiligen Landesdatenschutzbeauftragten wenden.

Wenn ein Unternehmen nicht auf eine solche Anfrage reagiert, dann verstößt es damit gegen geltendes Recht. Für das Unternehmen bedeutet das, dass es mit einer Verwarnung oder einem Bußgeld rechnen muss. Betroffene Personen, deren Anfrage nicht beantwortet wurde, können sich an den Datenschutzbeauftragten ihres jeweiligen Bundeslandes wenden.