Auskunftsersuchen: Teure Strafen trotz Einhaltung der Frist zur Beauskunftung?!
Im Datenschutzrecht spielen die in den Verordnungen festgelegten Fristen eine entscheidende Rolle. Artikel 33 DSGVO fordert beispielsweise, dass Datenpannen innerhalb von 72 Stunden gemeldet werden müssen. Eine ähnliche, wenn auch großzügigere Regelung findet sich in Artikel 12 Abs. 3 DSGVO, der die Frist für die Bearbeitung von Auskunftsrechten, Löschrechten und anderen Anträgen regelt. Demnach muss der Verantwortliche die Anfrage „unverzüglich“, jedoch spätestens innerhalb eines Monats nach Eingang bearbeiten.
„Emotionales Ungemach“ und Schadensersatz
Ein Fall wurde vom Arbeitsgericht Duisburg verhandelt, in dem ein abgelehnter Bewerber Schmerzensgeld für eine verspätete Auskunftserteilung forderte. Der Bewerber argumentierte, dass die Bearbeitungszeit seine Rechte verletzt habe und er dadurch Kontrollverlust und emotionales Ungemach erlitten habe. Das Gericht sprach ihm ein Schmerzensgeld von 750 Euro zu, begründet durch den Kontrollverlust aufgrund der verspäteten Auskunft.
Was war überhaupt passiert?
Der Kläger bewarb sich 2017 bei einem Unternehmen und forderte 2023 Auskunft (Art. 15 DSGVO) über seine Daten gemäß DSGVO. Er setzte eine Frist (von einem Monat, entsprechend Art. 12 Art. 3 DSGVO) bis zum 2. Juni 2023. Als bis zum 3. Juni keine Antwort kam, erkundigte er sich erneut. Am 5. Juni erhielt er die Mitteilung, dass keine Daten vorhanden seien. Er argumentierte, dies verstoße gegen die DSGVO, da die Auskunft unverzüglich hätte erfolgen müssen. Das Unternehmen entgegnete, dass es aufgrund der täglichen Anfragen und der Komplexität des Falles mehr Zeit benötigte.
Ablauf von Auskunftsersuchen
Der korrekte Ablauf von Auskunftsersuchen in einem Unternehmen beginnt mit dem Eingang der Anfrage, gefolgt von der Identifizierung des Anfragenden. Ist die Identität bestätigt, werden die relevanten Daten ermittelt. Sind alle Daten verfügbar, werden diese zusammengestellt und formatiert, um die Auskunft zu erteilen. Bei einer Nachfrage werden weitere Informationen bereitgestellt oder die Anfrage bei Unzulänglichkeiten abgelehnt und die Gründe kommuniziert. Der Prozess endet mit der abschließenden Bereitstellung oder Ablehnung der Informationen.
Die Interpretation der „Unverzüglichkeit“
Das Arbeitsgericht Duisburg vertritt die Auffassung, dass die Monatsfrist als Höchstfrist zu verstehen ist und „unverzüglich“ in der Regel innerhalb einer Woche bedeutet. Diese Auslegung orientiert sich jedoch an nationalen Rechtsnormen und berücksichtigt nicht die europarechtliche Perspektive, was zu Rechtsunsicherheiten führen kann. Hier zeigt sich die Notwendigkeit einer einheitlichen europarechtlichen Auslegung.
Schadensersatzkriterien des EuGH
Der EuGH hat klare Kriterien für Schadensersatzansprüche festgelegt. Dazu gehören der Verstoß gegen die DSGVO, ein entstandener Schaden für die betroffene Person und ein Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und dem entstandenen Schaden. Wichtig ist hierbei, dass die betroffene Person den Schaden nachweisen muss, auch wenn keine Erheblichkeitsschwelle für den Anspruch erforderlich ist.
Unser Fazit für Unternehmen
Diese Entscheidungen verdeutlichen, wie wichtig es für Unternehmen ist, die Anforderungen der DSGVO genau zu verstehen und einzuhalten. Insbesondere die Fristen für Auskunftsanfragen sollten ernst genommen werden, da Verstöße nicht nur Bußgelder, sondern auch Schadensersatzforderungen nach sich ziehen können. Unternehmen sollten sich daher stets über die aktuelle Rechtslage informieren und ihre Prozesse entsprechend anpassen.
Wie Ihr Unternehmen systematisch korrekt und fristgerecht die Auskunftsersuchen beantworten kann, haben wir in einem früheren Beitrag für Sie aufgeführt. Dort erhalten Sie sogar eine vollständige kostenlose Checkliste, wie Sie Ihre Prozesse definieren sollten.
Bildnachweis
