Man kann nicht nicht kommunizieren
Das gilt auch für das Datenschutzrecht. Auskunftsanfragen haben durch die Omnipräsenz der DSGVO an Popularität gewonnen. Selbst wenn von einem Verantwortlichen über eine Person keine Daten verarbeitet werden und damit vermeintlich relativ rasch eine sehr kurze und unkomplizierte Antwort eines solchen Ersuchens möglich ist, sollte sorgfältig abgewogen werden, wie die Antwort gestaltet wird. Auch die „Negativauskunft“ birgt einige Tücken.
Außerdem ist sie einerseits ebenso innerhalb der gesetzten Frist von einem Monat zu erteilen und muss auch Berücksichtigung im Verarbeitungsverzeichnis finden.
So wird, selbst wenn ursprünglich keine Datenverarbeitung zu einer Person vorliegt, durch dieses Auskunftsbegehren, mit dem allenfalls auch noch eine Ausweiskopie übermittelt wird, eine solche zwangsweise initiiert. Damit wäre eine reine „Negativauskunft“ inhaltlich also falsch.
Vielmehr hat der Verantwortliche im Rahmen dieser Negativauskunft darauf hinzuweisen, dass
- bis zum Eingang eines Auskunftsbegehrens keine personenbezogenen Daten verarbeitet wurden und
- ab Erhalt des Auskunftsbegehren die darin übermittelten personenbezogenen Daten verarbeitet werden.
Eine weitere Frage, die sich in diesem Zusammenhang stellt, ist die Frage der Aufbewahrungsmöglichkeit bzw. -frist solcher Anfragen.
Ausgehend von der Rechenschaftspflicht des Verantwortlichen können die Anfrage und die Antwort zum Zweck der Dokumentation der Behandlung von Betroffenenrechten jedenfalls aufbewahrt werden. Die Dauer kann sich gemäß einer (unveröffentlichten) Entscheidung der Datenschutzbehörde vom 14.4.2019 an § 24 Abs. 4 DSG orientieren. Nach dieser Bestimmung hat der Auskunftswerber das Recht binnen eines Jahres nach Kenntnis eines beschwerenden Ereignisses (zB Verweigerung einer Auskunft oder Erhalt einer unvollständigen Auskunft) bzw. binnen 3 Jahren, nachdem das Ereignis behauptetermaßen stattgefunden hat, Beschwerde an die Datenschutzbehörde zu erheben.
Da sich der Verantwortliche dann auch verteidigen können darf und muss, ist von einer maximalen Frist zur Aufbewahrung von Auskunftsbegehren und deren Beantwortung von grob 3 Jahren (unter Berücksichtigung des Postlaufs einer zuzustellenden Beschwerde) auszugehen. Eine grobe 1-jährige Aufbewahrungsdauer ist damit jedenfalls gerechtfertigt.
Zusammengefasst:
Selbst bei Anfragen an vermeintlich „datenarme“ Unternehmen oder von gänzlich Unbekannten ist es notwendig sich mit dem Auskunftsansuchen ausreichend auseinanderzusetzen und dieses korrekt zu beantworten. Spätestens durch die Anfrage findet eine Verarbeitung der personenbezogenen Daten des Anfragenden statt und sind dabei die Grundsätze der DSGVO auch für diese Datenverarbeitung zu berücksichtigen.
Auskunftsanfragen nach der DSGVO und Beantwortungen können (und sollten) zumindest für die Dauer von 1 Jahr aufbewahrt werden – worüber der Anfragende ebenso zu informieren ist.
Gerne unterstützen wir Sie bei jeglichen Fragen rund um den sicheren und rechtskonformen Umgang mit personenbezogenen Daten.