DSGVO-Auskunft und Missbrauch: Was Unternehmen konkret nachweisen müssen

Das Archivdatum dient der Sortierung und bezeichnet keine frühere Veröffentlichung.

Quelle: Amtliche Entscheidung bzw. gerichtliche Mitteilung zu C-526/24.

Das Auskunftsrecht bleibt der Ausgangspunkt

Artikel 15 DSGVO gibt betroffenen Personen ein Recht auf Auskunft über ihre Daten und bestimmte Angaben zur Verarbeitung. Unternehmen sollten deshalb einen nachvollziehbaren Bearbeitungsprozess haben. Eine kurze Zeit zwischen Registrierung und Antrag, mehrere Anfragen oder eine angekündigte Geldforderung machen den Antrag nicht allein automatisch unzulässig. Wer von der Ausnahme wegen Exzessivität Gebrauch machen will, muss die relevanten Umstände konkret bewerten und belegen. Ein bloßer Verdacht oder ein unerwünschter zusätzlicher Aufwand ersetzt diese Prüfung nicht.

Ablehnung und Fristen sorgfältig behandeln

Artikel 12 DSGVO regelt die Bearbeitung von Betroffenenanträgen. Grundsätzlich ist ohne unangemessene Verzögerung und spätestens innerhalb eines Monats zu reagieren; das Gesetz erlaubt unter bestimmten Voraussetzungen eine Verlängerung. Bei einer Weigerung müssen die Gründe und die vorgesehenen Rechtsschutzmöglichkeiten mitgeteilt werden. Ein Unternehmen sollte deshalb weder schweigen noch eine unbegründete Standardablehnung versenden. Eine Verlängerung ist ebenfalls kein beliebiges Mittel, um einen schwierigen Vorgang liegen zu lassen. Die tatsächlich benötigte Bearbeitung und die gesetzlichen Voraussetzungen gehören dokumentiert.

Für die Einzelfallprüfung Belege statt Vermutungen sammeln

Öffentlich bekannte Abläufe können ein Anhaltspunkt sein, müssen aber dem konkreten Antrag nachvollziehbar zugeordnet werden. Dabei sollte die eigene Dokumentation keine unnötige Sammlung personenbezogener Informationen über den Antragsteller erzeugen.

• Registrierung, Datenschutzhinweise, Antrag und sämtliche Antworten mit Datum sichern.
• Tatsächlich verarbeitete Daten und beteiligte Systeme für die mögliche Auskunft bestimmen.
• Konkrete Indizien für einen behaupteten Missbrauch von bloßen Annahmen getrennt festhalten.

Auskunft und Schadenersatz sind unterschiedliche Ansprüche

Artikel 82 DSGVO verlangt neben einem Verstoß einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Eine verspätete oder verweigerte Antwort führt daher nicht automatisch zu einem festen Geldbetrag. Betroffene sollten die konkrete Beeinträchtigung wahrheitsgemäß beschreiben, statt nur eine allgemeine Vorlage zu übernehmen. Unternehmen wiederum dürfen nicht allein wegen einer unbegründet erscheinenden Geldforderung auch das Auskunftsrecht ungeprüft verwerfen. Die Verteidigung gegen einen Zahlungsanspruch und die datenschutzrechtliche Erfüllung eines Antrags müssen jeweils begründet werden.

Eine belastbare Antwort für beide Seiten vorbereiten

Für Unternehmen und Betroffene aus Essen und dem Ruhrgebiet kann eine Beratung klären, welche Informationen fehlen und welcher Anspruch tatsächlich verfolgt wird. Ein Betrieb kann zunächst seine Datenbestände ordnen und eine fristgerechte Antwort vorbereiten, während konkrete Missbrauchsindizien geprüft werden. Betroffene können erläutern, welche Verarbeitung sie nachvollziehen möchten und welche Antworten unvollständig geblieben sind. Das hilft, den Streit sachlich einzugrenzen. Ein gerichtliches Verfahren braucht mehr als die Wiederholung einer fremden Schlagzeile. Gerade wenn eine Ablehnung mit einem bekannten Fall begründet wird, müssen Unterschiede des eigenen Ablaufs deutlich herausgearbeitet werden.