Checkliste Auskunftsersuchen (DSGVO-Auskunft)
Checkliste für Auskunftsersuchen nach Art. 15 DSGVO und Art. 25 revDSG: Anfrage erfassen, Identität prüfen, alle Systeme durchsuchen und fristgerecht antworten.
- Typischer Rhythmus pro Anfrage
- Die Checkliste 4 Abschnitte, 20 Punkte
- Variablen
{{requester}}{{received_date}}
Read in English: Data Subject Access Request (DSAR) Checklist
Diese Checkliste verwenden, sobald jemand wissen möchte, welche personenbezogenen Daten Ihr Unternehmen über sie oder ihn gespeichert hat. Anfragen kommen per E-Mail, über ein Support-Ticket, soziale Medien oder per Post. Sie müssen weder das Wort "Auskunft" enthalten noch die DSGVO nennen, um zu zählen. Mit kleinen Anpassungen hilft die Checkliste auch bei Lösch- und Berichtigungsanfragen.
Wer verantwortlich ist
Die oder der Datenschutzbeauftragte bzw. die interne Datenschutzstelle führt den Durchlauf. Die Verantwortlichen der einzelnen Systeme durchsuchen ihre Tools, weil sie wissen, wo Daten liegen. Das Support-Team muss Anfragen erkennen und sofort weitergeben.
Fristen
Nach Art. 12 Abs. 3 DSGVO gilt eine Frist von einem Monat, die bei komplexen oder zahlreichen Anfragen um zwei weitere Monate verlängert werden kann. In der Schweiz wird ein Auskunftsbegehren nach Art. 25 revDSG in der Regel innert 30 Tagen beantwortet (Art. 18 DSV), grundsätzlich kostenlos.
Typische Fehler
- Fristbeginn verpassen. Die Frist läuft ab Eingang, nicht ab Weiterleitung an die zuständige Person.
- Zu viel Identifikation verlangen. Die Identität verhältnismäßig prüfen. Eine Ausweiskopie von bekannten Kundinnen und Kunden schafft neue Risiken.
- Nur die Hauptdatenbank durchsuchen. Daten liegen auch in E-Mails, Tickets, Chats, Logs und Tabellen.
- Daten Dritter offenlegen. Namen von Kolleginnen, Kollegen oder anderen Kunden vor dem Versand schwärzen.
Passen Sie die Checkliste an Ihre Rechtsordnung an; sie ist keine Rechtsberatung.
Die Checkliste: Auskunftsersuchen von {{requester}} vom {{received_date}}
Erfassen und prüfen
-
Anfrage mit Eingangsdatum
{{received_date}}, Kanal und Fälligkeitsdatum erfasstDSGVO: ein Monat ab Eingang. revDSG: in der Regel 30 Tage.
-
Eingang gegenüber
{{requester}}bestätigt und nächste Schritte erklärt -
Identität von
{{requester}}möglichst anhand bereits vorhandener Angaben geprüft -
Unklare Anfrage mit
{{requester}}präzisiert optional -
Geprüft, ob zusätzlich Löschung, Berichtigung oder Datenübertragbarkeit verlangt wird
Daten finden
-
Hauptanwendung und Kundendatensätze durchsucht
-
E-Mail, Support-Tickets und Chat-Tools durchsucht
-
CRM, Marketing- und Newsletter-Tools durchsucht
-
HR- und Finanzsysteme durchsucht, falls
{{requester}}Mitarbeitende, Bewerbende oder Lieferant ist oder war -
Dateiablagen und geteilte Tabellen durchsucht
-
Auftragsverarbeiter um die bei ihnen gespeicherten Daten gebeten optional
Antwort vorbereiten
-
Kopie der personenbezogenen Daten in einem gängigen elektronischen Format zusammengestellt
-
Daten anderer Personen und vertrauliche Informationen Dritter geschwärzt
-
Genutzte Ausnahmen oder Einschränkungen mit Begründung dokumentiert
-
Begleitschreiben mit Zwecken, Empfängern, Speicherdauer, Herkunft der Daten und Rechten der Person verfasst
-
Antwort vor dem Versand von einer zweiten Person geprüft
Versenden und abschließen
-
Antwort vor Fristablauf über einen sicheren Kanal versendet
-
{{requester}}innerhalb der ersten Frist über eine Verlängerung und deren Gründe informiert, falls nötig optionalDie DSGVO erlaubt bei komplexen oder zahlreichen Anfragen eine Verlängerung um bis zu zwei weitere Monate.
-
Versanddatum, offengelegte und zurückgehaltene Informationen dokumentiert
-
Arbeitskopien des Exports nach dem Versand gelöscht
Checkliste als Markdown
Häufige Fragen
Wie lange ist die Frist für eine DSGVO-Auskunft?
Die Auskunft ist unverzüglich zu erteilen, spätestens aber innerhalb eines Monats nach Eingang der Anfrage. Bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Die Person muss darüber innerhalb des ersten Monats informiert werden, mit Angabe der Gründe.
Darf man für eine Auskunft Geld verlangen?
In der Regel nicht. Unter der DSGVO ist die erste Kopie kostenlos. Für weitere Kopien oder bei offenkundig unbegründeten oder exzessiven Anfragen sind Ausnahmen möglich. Auch nach dem revDSG ist die Auskunft grundsätzlich kostenlos. Eine Ausnahme sollten Sie immer begründen und dokumentieren.
Was muss eine Auskunft nach Art. 15 DSGVO enthalten?
Neben einer Kopie der Daten gehören dazu die Zwecke der Verarbeitung, die Datenkategorien, die Empfänger, die Speicherdauer, die Rechte der betroffenen Person, die Herkunft der Daten, falls sie nicht bei ihr erhoben wurden, und ob eine automatisierte Entscheidungsfindung stattfindet.
Aktualisiert