1. Identität des Betroffenen überprüfen

Sie sollten unbedingt beachten, dass Sie Auskunft über personenbezogene Daten nur dann geben dürfen, wenn Sie sich sicher sind, dass es sich bei dem Antragssteller auch wirklich um die betroffene Person handelt. Jedoch haben Sie keine Pflicht, einen Identitätsnachweis einzufordern. Dies ist nur dann nötig, wenn begründete Zweifel an der Identität bestehen. Zum Beispiel, wenn der Absender eine Fantasie E-Mail-Adresse benutzt.

Also kurz gesagt: Wenn Sie keine Zweifel an der Identität des Betroffenen haben, können Sie sofort zu Schritt 2 übergehen. Ansonsten sollten Sie einen Identitätsnachweis (z.B. Kopie des Personalausweises) anfordern, um sicher zu gehen.

2. Prüfen, ob ich überhaupt Auskunft erteilen muss

Dabei sollten Sie sich diese zwei Fragen stellen:

1. Verarbeite ich überhaupt Daten dieser Person?
2. Kann ich mich weigern, eine Auskunft zu erteilen?

Zu Punkt 1: Als erstes sollten Sie prüfen, ob Sie überhaupt personenbezogene Daten der anfragenden Person verarbeiten. Achtung: Auch wenn nicht, müssen Sie den Betroffenen darüber informieren! Dann ist eine so genannte Negativauskunft zu erteilen. Wenn Sie jedoch personenbezogene Daten des Betroffenen verarbeiten, sollten Sie zu Schritt 3 übergehen.

Zu Punkt 2: Ja, ich kann mich weigern eine Auskunft zu erteilen. Dies ist jedoch nur in Ausnahmefällen möglich. Genauer gesagt wenn:

• ich beweisen kann, dass der Antrag offenkundig unbegründet oder exzessiv von einem Betroffenen gestellt wird.
• mit der Auskunft die Rechte und Freiheiten anderer Personen verletzt werden.
• ich damit Betriebsgeheimnisse preisgeben müsste.

3. Eingangsbestätigung senden

Zu aller erst muss gesagt werden, dass dieser Schritt in der DSGVO nicht zwingend vorgeschrieben wird. Jedoch ist es auf jeden Fall zu empfehlen. Wenn Sie eine Eingangsbestätigung senden, teilen Sie dem Betroffenen damit mit, dass Sie seine Anfrage behandeln und sich darum kümmern. Dies schafft sofort einen Nachweis, dass Sie die Auskunftsanfrage bearbeiten und nicht ignorieren.

4. Informationen über betroffene Daten sammeln

In diesem Schritt wird der Inhalt der Antwort auf die Auskunftsanfrage aufbereitet. Laut DSGVO müssen nämlich bestimmte Informationen über die betroffenen personenbezogenen Daten zwingend herausgegeben werden. Diese sollten Sie auch gründlich zusammentragen. Folgende Informationen sind vorgeschrieben:

• die Zwecke der Verarbeitung der Daten
• die Kategorien personenbezogener Daten, die verarbeitet werden
• die Empfänger bzw. Kategorien von Empfängern, an die die Daten weitergegeben werden/wurden – vor allem auch bei Drittländern
• geplante Dauer der Speicherung der Daten
• bestehen der diversen Rechte der Betroffenen in Bezug auf ihre Daten (Löschung, Widerspruch…)
• alle verfügbaren Informationen über die Herkunft der Daten

Weiters hat der Betroffene das Recht eine Kopie der verarbeiteten personenbezogenen Daten zu erhalten.

Haben Sie all diese Informationen gesammelt, geht es weiter zu Schritt 5 – der Aufbereitung Ihres gesammelten Inhalts.

5. Antwort in geeigneter Form aufbereiten

Nun ist es nötig, den Inhalt richtig aufzubereiten. Wichtig dabei ist, dass die Auskunft in transparenter und verständlicher Form erfolgt.

Das Format ist dabei nicht zwingend vorgeschrieben. Sie können eine Auskunft auch mündlich geben, sofern der Betroffene eindeutig identifiziert ist und dies ausdrücklich fordert. Jedoch empfehlen wir dringlichst, die Antwort schriftlich oder elektronisch in einem gängigen Format zu senden. So können Sie sicher sein, dass Sie immer einen Beweis in der Hand halten!