2.1 Eingang eines Auskunftsverlangens
An erster Stelle steht der Eingang eines Auskunftsverlangens beim Verantwortlichen, welches einen möglichen Auskunftsanspruch begründet. Das Auskunftsverlangen selbst ist nicht an eine Form gebunden. Die betroffene Person kann ihren Wunsch nach Datenauskunft per Brief, Fax, E-Mail, mündlich oder auf sonstige Art und Weise geltend machen. Sollte die eingegangene Erklärung der betroffenen Person unklar formuliert sein, liegt es am Verantwortlichen, diese auszulegen und zu entscheiden, ob es sich um die Geltendmachung eines Auskunftsanspruchs handelt.
Auslegung
Stellen Sie sich immer die Frage: "Was will die Person eigentlich sagen?" Beispielsweise kann in der Aussage "Ich weiß, dass ihr meine Daten habt! Gebt es zu!" ein Auskunftsverlangen gesehen werden. Im Zweifel sollte die fragliche Aussage notiert und der Datenschutzbeauftragte oder die Rechtsabteilung kontaktiert werden.
2.2 Notieren der Monatsfrist
Unmittelbar nach Eingang des Antrags ist die Frist zur Beantwortung des Auskunftsanspruchs zu notieren. Diese beträgt maximal einen Monat. Ein Versäumnis der Frist oder eine unzureichende Beantwortung des Anspruchs innerhalb der Frist kann zu Schadensersatzansprüchen der betroffenen Person führen. Die Beantwortung sollte daher so zeitnah wie möglich erfolgen.
Die Frist zur Beantwortung kann nur in wenigen Ausnahmefällen verlängert werden, beispielsweise wenn die vorhandenen Daten besonders umfangreich sind, oder viel Zeit darauf verwendet werden muss, durch Pseudonymisierung die Rechte Dritter zu schützen. Ist eine Fristverlängerung erforderlich, ist die betroffene Person innerhalb der Monatsfrist darüber zu informieren.
Eine Verkürzung der Monatsfrist durch die betroffene Person selbst ist unzulässig
In manchen Fällen setzen betroffene Personen dem Verantwortlichen eine kürzere Frist zur Beantwortung des Auskunftsanspruchs. Diese Form der Fristsetzung ist unwirksam. Setzt eine betroffene Person eine kürzere Frist, ist der Auskunftsanspruch wirksam, es gilt jedoch die gesetzliche Frist.
Wird der Auskunftsanspruch nicht oder nicht innerhalb der Monatsfrist (oder der Fristverlängerung) beantwortet, kann es dazu kommen, dass die betroffene Person einen Anspruch auf Schadensersatz geltend macht. Die Höhe dieses Schadensersatzanspruchs variiert von Fall zu Fall.
2.3 Verweigerung der Auskunft
Verweigerung nur in Ausnahmefällen
Verweigern Sie die Auskunft nur in absoluten Ausnahmefällen und halten Sie stets Rücksprache mit dem Datenschutzbeauftragen oder der Rechtsabteilung.
In wenigen Ausnahmefällen kann die Auskunft gegenüber der betroffenen Person verweigert werden. Dies ist etwa der Fall, wenn der Auskunftsanspruch offenkundig unbegründet ist oder bei besonders exzessiven Anträgen. Den Verantwortlichen trifft die Beweislast im Hinblick auf das Vorliegen der vorgenannten Ausnahmen.
In der Praxis haben sich daher nur wenige Konstellationen herausgebildet, in welchen der Verantwortliche diesen Nachweis erbringen konnte, weshalb grundsätzlich davon abgeraten wird, einer betroffenen Person die Auskunft gänzlich zu verweigern. Insbesondere bei Erstanträgen, also der ersten Kontaktaufnahme, besteht nur in wenigen Fällen ein Verweigerungsrecht.
Ein offenkundig unbegründeter Antrag liegt nur dann vor, wenn die Voraussetzungen des Auskunftsanspruchs für einen Laien erkennbar nicht erfüllt sind. Dies ist beispielsweise bei Scherzanträgen der Fall, also wenn eine fiktive Person einen Auskunftsanspruch geltend macht. Ein unbegründeter Antrag liegt jedoch gerade nicht vor, wenn die betroffene Person mit ihrem Auskunftsanspruch datenschutzfremde Zwecke verfolgt, z. B. um an bestimmte Vertragsinhalte zu gelangen. Die Motivation der betroffenen Person ist unerheblich.
Besonders exzessive Anträge zeichnen sich in den meisten Fällen durch häufige Wiederholung, ohne dass sachliche Gründe für die Wiederholung erkennbar sind, aus. So ist ein Antrag dann regelmäßig als "besonders exzessiv" zu werten, wenn die betroffene Person einen zweiten Auskunftsantrag stellt, während die Regelfrist zur Beantwortung des ersten Auskunftsantrags noch läuft.
Erneute Auskunftsersuchen können auch verweigert werden, wenn die Informationen dem Antragssteller bereits vollständig vorliegen.
Neben der Verweigerung in Fällen des Art. 12 Abs. 5b DSGVO sieht der Gesetzgeber im Bundesdatenschutzgesetz (BDSG) und im bereichsspezifischen Datenschutz gewisse Ausnahmen vor.