Viele Menschen kennen das: Man stellt bei einem Unternehmen oder einer Behörde einen Antrag auf Auskunft über seine eigenen personenbezogenen Daten. Das nennt man ein Auskunftsersuchen nach der Datenschutz-Grundverordnung, kurz DSGVO. Dabei möchte man zum Beispiel wissen, welche Daten über einen selbst gespeichert sind und wofür sie genutzt werden.
Eine wichtige Frage ist: Darf der Verantwortliche die komplette Auskunft, die er auf ein solches Auskunftsersuchen gegeben hat, dauerhaft aufbewahren?
Das Bundesamt für den Datenschutz und die Informationsfreiheit hat dazu jetzt eine wichtige Aussage getroffen: Nein, eine vollständige Aufbewahrung der erteilten Auskunft ist grundsätzlich nicht zulässig.
Was ist ein Auskunftsersuchen überhaupt?Ein Auskunftsersuchen nach der DSGVO bedeutet:
Eine Person fragt bei einem Unternehmen oder einer Behörde nach, welche Daten über sie gespeichert sind. Sie möchte wissen:
- welche Daten verarbeitet werden,
- zu welchem Zweck das geschieht,
- ob die Daten weitergegeben wurden,
- wie lange sie gespeichert werden,
- und welche Rechte sie selbst hat.
Das ist ein wichtiges Recht. Es gehört zu den Grundrechten im Datenschutz.
Was war bisher unklar?Viele Organisationen haben nach einem solchen Auskunftsersuchen die gesamte Antwort, die sie dem Betroffenen gegeben haben, vollständig gespeichert. Der Gedanke dahinter war oft: „Wir müssen ja dokumentieren, was passiert ist." Diese Praxis war weit verbreitet, auch wenn sie datenschutzrechtlich kritisch sein kann.
Es stellte sich die Frage: Darf man die komplette Antwort als Dokument aufbewahren – inklusive aller Daten, die man dem Betroffenen mitgeteilt hat?
Die klare Antwort: keine vollständige AufbewahrungNach aktuellem Verständnis der Datenschutzbehörde ist eine vollständige und dauerhafte Speicherung der erteilten Auskunft nicht erlaubt. Das heißt:
- Die komplette Kopie der Auskunft, die dem Betroffenen gegeben wurde, darf nicht einfach in den Akten bleiben.
- Jede Speicherung muss auf das absolut notwendige Maß beschränkt sein.
- Grund: Auch die Antwort enthält personenbezogene Daten – und diese dürfen nicht länger aufbewahrt werden, als es der Zweck erlaubt.
Weil bei einem Auskunftsersuchen genau die Daten offengelegt werden, die für den Betroffenen relevant sind. Wenn diese kompletten Daten anschließend ebenfalls dauerhaft gespeichert werden, ist das im Ergebnis nichts anderes als eine weitergehende Datenspeicherung, die der Betroffene nicht beabsichtigt hat.
Datenschutz basiert auf dem Grundprinzip:
Daten sollen nur so lange gespeichert werden, wie es unbedingt nötig ist.
Auch nach einem Auskunftsersuchen muss eine Organisation dokumentieren, dass sie den Antrag bearbeitet hat. Dazu gehört:
- Datum des Ersuchens
- Art des Antrags
- Hinweise zur Bearbeitung
- Nachweis, dass die Auskunft erteilt wurde
Dabei sollten jedoch nur solche Daten aufbewahrt werden, die notwendig sind, um die gesetzliche Pflicht zur Dokumentation zu erfüllen. Nicht zulässig ist es, die gesamte korrespondierte Auskunft inklusive aller personenbezogenen Daten des Betroffenen als „Beweis" zu speichern.
Welche Folgen hat das für die Praxis?Für Unternehmen, Behörden und andere verantwortliche Stellen bedeutet diese Klarstellung:
- Überprüfung von internen Prozessen:
Die Ablage von vollständigen Auskunftsantworten muss überdacht werden. - Anpassung der Dokumentation:
Systeme und Akten müssen so gestaltet werden, dass nur notwendige Dokumentationsdaten gespeichert werden. - Schulung von Mitarbeitenden:
Verantwortliche Personen müssen wissen, welche Dokumentationspflichten bestehen – und was darüber hinaus nicht gespeichert werden darf.
Für Betroffene bedeutet diese Klarstellung:
- Ihre Daten bleiben besser geschützt.
- Antworten auf Auskunftsersuchen werden nicht als dauerhafte Datensammlung weiter im System gespeichert.
- Der Grundsatz der Datensparsamkeit wird gestärkt.
Die Entscheidung, dass die vollständige Aufbewahrung erteilter Auskünfte bei Auskunftsersuchen nicht zulässig ist, stärkt den Datenschutz. Sie stellt klar:
Der Zweck der Auskunftserteilung endet mit der Beantwortung des Antrags.
Alles darüber hinaus darf nicht gespeichert werden, es sei denn, es ist ausdrücklich erforderlich und rechtlich eindeutig begründet.
Datenschutz heißt nicht nur Rechte schaffen – sondern sie auch konsequent schützen.
Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!
Ihr Team von Datenschutz Prinz