Identitätsfeststellung und Auskunftsverlangen

Artikel 15 DSGVO sichert Betroffenen ein weitgehendes Auskunftsrecht zu, was Speicherung, Verarbeitung und Weitergabe ihrer personenbezogenen Daten anbelangt. Regulär hat das angefragte Unternehmen einen Monat Zeit, die entsprechenden Auskünfte zu erteilen. Die meisten Unternehmen sind damit allerdings überfordert, zumindest wenn es darum geht, dem Auskunftsverlangen umfassend und vollständig nachzukommen.

Mit dieser Überforderung gehen Unternehmen unterschiedlich um. Zwei Verhaltensweisen häufen sich. Die eine zielt darauf, das Auskunftsverlangen zu erschweren und die andere nur jene Auskünfte zu geben, die sich ohne großen Aufwand ermitteln lassen.

Identitätsnachweis nicht als Erschwernis für Betroffene missbrauchen

Viele Unternehmen reagieren fast reflexartig auf Auskunftsanfragen nach Artikel 15 DSGVO mit einer Aufforderung zum Identitätsnachweis. Selbst die Wirtschaftskammer Österreich (WKO) empfiehlt ihren Mitgliedern in einer Mustervorlage zur Beantwortung von Auskunftsanfragen in einem ersten Schritt auf einem Identitätsnachweis zu bestehen. Wörtlich heißt es: Sobald der Identitätsnachweise bei uns eingelangt ist, kommen wir ihrem Ersuchen nach.    Dabei gilt dies nach Artikel 12 Abs. 6 DSGVO nur dann, wenn begründete Zweifel an der Identität bestehen. Hier haben viele Unternehmen, zumindest in Österreich, noch nicht realisiert, dass die im ‚alten’ Datenschutzgesetz (DSG2000) vorgesehene Nachweispflicht schon vor einer Prüfung, durch die DSGVO überholt ist.  

Problematisch ist zudem, dass diese Vorlage dem Missverständnis Vorschub leistet, dass die einmonatige Beantwortungsfrist erst mit Vorlage des Identitätsnachweises beginnen würde, nicht bereits mit dem Tag der Anforderung.

So einfach können sich Unternehmen und Organisationen das aber nicht machen.

Wie kann ein Identitätsnachweis erbracht werden

Zumeist verweisen Unternehmen auf die in ErwG 64 angeführte Prüfpflicht: Der Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen. Dies bedeutet zunächst:

•   im Unternehmen oder der Organisation prüfen, ob entsprechende Daten zur Person vorliegen, die ausreichen, um eine Person zu identifizieren. Sofern bei einer Anfrage eine Kundennummer angeführt wird und die Absenderadresse mit den im Unternehmen vorliegenden Kontaktdaten übereinstimmen, kann beispielsweise von einer Übereinstimmung ausgegangen werden.
•   Liegen keine Daten vor, bzw. gibt es keine Übereinstimmung im System oder bestehen Zweifel, dann wird häufig eine Kopie des Personal- oder Reisepasses verlangt, bzw. anderer amtlicher Ausweispapiere mit Lichtbild, wie beispielsweise eines Führerscheins. Es ist allerdings strittig, ob die Vorlage einer Ausweiskopie ausreicht, insbesondere, wenn es um sensible Daten geht. Sieht man von möglichen Fälschungen ab, kann ein Ausweis auch entwendet oder gefunden worden sein. Es bräuchte, so es einen Verdacht gibt, eine zusätzlichen Verifikation, wie beispielsweise durch ein Video-Identverfahren oder Identitätsnachweis durch eine Handy-Signatur, bzw. Bürgerkarte.
•   Einen geschützten Zugang zum Kund*innen, Lieferant*innen oder Mitarbeiter*innen Portal zur Verfügung stellen, in welchem die betroffene Person zum einen ihre personenbezogenen Daten, insbesondere Stammdaten etc. selbst einsehen kann und zum anderen dort auch weitergehende Anfragen im Sinne des Artikel 15 stellen kann.

Sichere Zustellung der Auskünfte an berechtigte Person

•   Bei der Zustellung der Unterlagen, jedenfalls dann, wenn diese sensible Daten beinhalten, wäre darauf zu achten, dass diese eingeschrieben und nur „eigenhändig” oder mit Übernahmeschein entgegengenommen werden können, bzw. persönlich unter Nachweis der Identität (z.B. Ausweis) abgeholt werden können. Eine Übermittlung der Unterlagen per E-Mail ist dann unstatthaft, wenn die Kommunikation unverschlüsselt erfolgt.
   
  Beispiel für eine sichere Zustellung umfangreicher und sensibler Daten:

  Daten werden verschlüsselt in einem USB Stick per Post, eingeschrieben und mit Übernahmeschein zugestellt. Das Passwort wird separat über einen anderen Kanal, z.B. per E-Mail oder SMS verschickt.

Zweifelsohne stellen Auskunftsanfragen nach Artikel 15 DSGVO je nach Zahl von Anfragen und Umfang von Daten eine entsprechend hohe Anforderung an ein Unternehmen oder eine Organisation, je nach Ressourcen und technisch-organisatorischen Möglichkeiten. Unternehmen und Organisationen sollten daher entsprechende Vorkehrungen für ein realistisches Szenario treffen.

Bereitstellung umfassender und vollständiger Auskünfte

Welche Auskünfte sind zu erteilen?

Lesen sie dazu folgende Beiträge:

Das Problem der Überforderung

Häufig sind Unternehmen und Organisationen überfordert, wenn Sie darüber Auskunft geben sollen, wo in Ihren Systemen welche personenbezogenen Daten gespeichert sind und zu welchem Zweck das erfolgte. Das ist besonders bei Löschaufforderungen virulent. Es gibt häufig zu viele, nicht selten aus den Augen verlorene Speicherorte, nicht gelöschte oder archivierte Datenbanken oder Dateien oder Services. Die gesamte IT, sämtliche Netzwerke aber auch konventionelle Ablageorte bezüglich personenbezogener Daten zu inventarisieren und die Informationen effektiv und effizient zu managen, ist vielen Unternehmen und Organisationen kaum möglich.

Dieser Überforderung wird meist damit begegnet, dass man sich bei Auskünften auf Daten beschränkt, die im ersten Zugriff verfügbar sind, wie beispielsweise Daten aus dem CRM, der Buchhaltung, dem ERP etc. Nicht selten ist zu hören, dass Betroffene nicht wissen können, ob die Angaben vollständig sind oder nicht und es auch äußerst unwahrscheinlich sei, dass eine Überprüfung durch die Datenschutzbehörde die Vollständigkeit kontrolliere. Nicht selten handeln manche Verantwortliche entsprechend nach dem Pareto Prinzip: Sie argumentieren, dass für die letzten zwanzig Prozent, die zu einer vollständigen Auskunft fehlten, achtzig Prozent des Aufwands anfielen, was eben unverhältnismäßig sei. Das ist plausibel. Aber der Umstand, dass Unternehmen keinen Überblick über ihre Daten haben stellt kein Argument im Sinne eines unzumutbaren Aufwands dar.

In Österreich kommt hinzu, dass die Politik der – eigentlich unabhängigen – Datenschutzbehörde vorgegeben hat, dass Verwarnen vor Bestrafung stehen müsste. Für betriebswirtschaftlich kalkulierende Unternehmen liegt es daher nahe, das geringe Risiko einer unvollständigen Auskunft in Kauf zu nehmen, um den Aufwand für Auskünfte gering zu halten. Dennoch sollten Unternehmen selbst ein Interesse daran haben, einen Überblick über sämtliche gespeicherten und verarbeiteten, bzw. auch weitergegebenen personenbezogenen Daten zu haben.

Herausforderung einer transparenten IT Infrastruktur

Kaum ein Unternehmen wird Mitarbeiter*innen beauftragen, quasi „händisch” sämtliche mögliche Standorte, Infrastrukturen, Speichermedien und Speicherorte zu durchsuchen, um in Erfahrung zu bringen, wo und über welche Applikationen und Prozesse personenbezogene Daten gespeichert und verarbeitet werden. Diese Informationen und das daraus gewonnene Wissen ist aber Voraussetzung, um im Sinne der DSGVO verantwortlich handeln zu können, ist Grundlage jeder DSGVO Compliance. Je solider diese Grundlage, desto lückenloser kann die DSGVO Compliance erfüllt werden und desto geringer ist das entsprechende Haftungsrisiko.  

Der Gesetzestext der DSGVO, EU-Lex