⚑Auskunft, Löschung, Widerspruch

Sechs, und Sie sollten alle sechs kennen, weil sie einzeln geltend gemacht werden:

• Auskunft (Art. 15): Welche Daten haben Sie, woher, wozu, wie lange, an wen gehen sie.
• Berichtigung (Art. 16): Falsches muss richtiggestellt werden.
• Löschung (Art. 17): Was keinen Zweck mehr hat, muss weg.
• Einschränkung (Art. 18): Daten bleiben, dürfen aber nicht verwendet werden — für die Dauer einer Klärung.
• Datenübertragbarkeit (Art. 20): Herausgabe in einem gängigen Format.
• Widerspruch (Art. 21): Gegen die Verarbeitung, bei Werbung immer und ohne Begründung.

Der Widerspruch gegen Werbung ist der häufigste, und der einzige, bei dem es keine Abwägung gibt: Er gilt sofort.

Einen Monat ab Eingang — für alle Anfragen. Verlängerbar um zwei weitere Monate bei besonders aufwendigen Fällen, aber nur, wenn Sie die Verlängerung innerhalb des ersten Monats mitteilen und begründen.

Was das praktisch heißt:

• Sofort eintragen, wenn eine Anfrage kommt. Nicht „mache ich, wenn Zeit ist“.
• Eingang bestätigen, wenn es länger dauern könnte.
• Auch Ablehnungen sind fristgebunden. Wer eine Anfrage für unbegründet hält, muss das innerhalb der Frist begründet mitteilen.

Was nicht die Frist verlängert: Urlaub, Krankheit, Personalwechsel, ein unklarer Absender.

Beim Widerspruch gegen Werbung gilt die Monatsfrist nur für die Antwort — die Sperre selbst setzen Sie sofort.

In fünf Schritten:

1. Identität prüfen — aber verhältnismäßig. Wenn die Anfrage von der Adresse kommt, die Sie gespeichert haben, ist das in der Regel Nachweis genug. Einen Ausweis zu verlangen ist meistens unzulässig.
2. Alle Systeme durchsuchen. Nicht nur das CRM: auch Postfächer, Tabellen, Notizen, Exporte, das Buchhaltungssystem.
3. Zusammenstellen, was Sie haben — mit Herkunft, Zweck, Rechtsgrundlage, Speicherdauer, Empfängern.
4. Kopie der Daten beifügen.
5. Über die weiteren Rechte belehren, samt Beschwerderecht bei der Aufsichtsbehörde.

Punkt 2 ist der aufwendige. Wer weiß, wo überall Daten liegen, ist in einer Stunde fertig; wer es nicht weiß, in einer Woche.

Antworten Sie schriftlich und heben Sie die Antwort auf.

Nein — aber alles, wofür kein Grund mehr besteht. Der Unterschied ist wichtig, und Sie müssen ihn begründen können.

Zu löschen: Daten, die Sie nur für Ansprache und Werbung haben. Notizen, Zusatzangaben, Historie.

Zu behalten, oft verpflichtend:

• Handels- und steuerrechtliche Unterlagen — Rechnungen, Verträge. Fristen von sechs bis zehn Jahren.
• Ein Sperrvermerk mit der Adresse, damit die Person nicht beim nächsten Import wieder auftaucht. Das ist keine Umgehung, sondern die Umsetzung.
• Daten für laufende Rechtsansprüche.

Antworten Sie mit einer klaren Aufteilung: was gelöscht wurde, was bleibt und warum, und wann es gelöscht wird.

Nicht löschen sollten Sie: den Widerspruch selbst. Sie brauchen ihn als Nachweis.

Sofort und vollständig — bei Werbung gibt es keine Abwägung und keine Rückfrage.

1. Sperre setzen, bevor Sie antworten. Damit kann keine laufende Kampagne die Person noch erwischen.
2. Alle Kanäle, nicht nur den, über den widersprochen wurde. Wer der Mailwerbung widerspricht, will in der Regel auch keine Anrufe.
3. Kurz bestätigen. Ohne Rückfrage, ohne Rückgewinnungsversuch.
4. Nicht löschen, sondern sperren — sonst steht die Adresse beim nächsten Import wieder in der Liste.

Ein Widerspruch ist formlos: mündlich, per Mail, über einen Abmeldelink, im Gespräch. Er muss nicht begründet werden und gilt dauerhaft.

Und er gilt auch dann, wenn der Abmeldelink nicht funktioniert hat.

Dann korrigieren Sie sie — unverzüglich, und ohne die Richtigkeit lange zu prüfen. Bei einfachen Angaben (Name, Anschrift, Funktion) ist die Aussage der betroffenen Person der beste verfügbare Nachweis.

Was Sie dabei bedenken sollten:

• Auch Notizen sind Daten. Eine Wertung, die die Person für falsch hält, ist ein heikler Fall — Meinungen sind nicht „berichtigungsfähig“, falsche Tatsachenbehauptungen schon.
• Empfänger informieren. Wenn Sie die falschen Daten weitergegeben haben, müssen Sie die Berichtigung mitteilen, soweit möglich.
• Ergänzung statt Löschung, wo es passt: Eine unvollständige Angabe wird vervollständigt.

Und der praktische Nebeneffekt: Eine Berichtigungsanfrage ist eine kostenlose Datenpflege. Nehmen Sie sie freundlich an.

Das ist die Datenübertragbarkeit nach Art. 20, und sie ist enger, als sie klingt.

Sie gilt nur für Daten, die

• die Person selbst bereitgestellt hat,
• auf Einwilligung oder Vertrag beruhen,
• automatisiert verarbeitet werden.

Nicht darunter fallen: Ihre eigenen Notizen, Bewertungen, abgeleitete Angaben, Daten aus Recherche.

Was Sie herausgeben: die betreffenden Daten in einem gängigen, maschinenlesbaren Format — eine CSV-Datei genügt.

In der Praxis wird dieses Recht selten und meist zusammen mit einer Auskunftsanfrage geltend gemacht. Wenn es kommt, ist die Antwort meist deutlich kleiner als die Auskunft.

Vier Dinge, die zusammen einen halben Tag kosten und jede Anfrage von Tagen auf Stunden verkürzen:

1. Eine Liste, wo überall Daten liegen. CRM, Postfächer, Tabellen auf Laufwerken, Buchhaltung, Website-Formulare, Newsletter-Werkzeug, Exporte.
2. Herkunft dokumentieren. Zu jedem Kontakt: woher stammt er. Das ist die Angabe, die bei einer Auskunft am schwersten nachträglich zu ermitteln ist.
3. Löschfristen festlegen. Wie lange bleibt was — und wer räumt auf.
4. Eine Antwortvorlage für Auskunft, Löschung und Widerspruch. Nicht neu formulieren, wenn es eilt.

Und: Eine Person benennen, bei der solche Anfragen landen. Eine Anfrage, die in einem allgemeinen Postfach liegt, wird übersehen, und dann läuft die Frist ab.

Das ist eine Auskunftsanfrage, und die Herkunft ist ausdrücklich Teil der Auskunft (Art. 15 Abs. 1 lit. g).

Sie müssen also sagen können:

• Aus welcher Quelle die Daten stammen: eine Anfrage, eine Messe, ein Verzeichnis, eine Recherche, ein gekaufter Datensatz.
• Wann sie erhoben wurden.

Wenn Sie es nicht wissen, ist das selbst ein Problem: Ohne dokumentierte Herkunft können Sie weder auskunftsfähig sein noch begründen, warum Sie die Person anschreiben durften.

Der Rat, der aus dieser einen Frage folgt: Halten Sie ab heute bei jedem neuen Kontakt fest, woher er kommt. Ein Feld, drei Wörter — und Sie können jede solche Anfrage in fünf Minuten beantworten.

Das ändert nichts an Ihrer Pflicht — aber am Umgang:

• Vollmacht prüfen. Ein Vertreter braucht eine; verlangen Sie sie, wenn keine beiliegt.
• Frist läuft trotzdem ab Eingang, nicht ab Vorlage der Vollmacht.
• Sachlich antworten. Auf ein anwaltliches Schreiben gehört eine schriftliche Antwort, keine telefonische.
• Nicht mehr sagen als nötig. Beantworten Sie, was gefragt ist.

Häufig kommen solche Anfragen in Serie von Dienstleistern, die im Auftrag vieler Personen Auskunft verlangen. Das ist zulässig, und die beste Vorbereitung darauf ist wieder Punkt 1 aus der Vorbereitung: zu wissen, wo Daten liegen.

Wenn Schadensersatz gefordert wird, ist das kein Auskunftsfall mehr. Dann rechtlichen Rat holen.

Dann bekommen Sie eine Anfrage der Behörde, und die sollten Sie ernst, aber nicht panisch nehmen.

Was zu tun ist:

1. Frist notieren. Behördenfristen sind kurz und werden nicht stillschweigend verlängert.
2. Sachverhalt zusammenstellen, bevor Sie antworten: Was ist passiert, auf welcher Grundlage, was haben Sie danach geändert.
3. Vollständig und wahrheitsgemäß antworten. Aufsichtsbehörden reagieren erheblich schärfer auf unvollständige Auskünfte als auf den ursprünglichen Verstoß.
4. Abhilfe darstellen. Was Sie geändert haben, damit es nicht wieder vorkommt, ist der wichtigste Teil der Antwort.
5. Bei Unsicherheit rechtlichen Rat — spätestens, wenn ein Bußgeld im Raum steht.

Die meisten Verfahren enden ohne Bußgeld, wenn der Verstoß eingeräumt und abgestellt wird.

Dann läuft eine sehr kurze Frist: 72 Stunden ab Kenntnis für die Meldung an die Aufsichtsbehörde, wenn ein Risiko für die Betroffenen besteht.

Der Ablauf:

1. Stoppen. Zugänge sperren, Kennwörter ändern, betroffene Systeme trennen.
2. Feststellen, was betroffen ist: welche Daten, wie viele Personen, welcher Zeitraum.
3. Dokumentieren — auch dann, wenn Sie am Ende nicht melden müssen. Die Dokumentationspflicht besteht immer.
4. Melden, wenn ein Risiko besteht. Im Zweifel melden; eine Meldung zu viel ist folgenlos, eine zu wenig nicht.
5. Betroffene informieren, wenn ein hohes Risiko besteht.

Typische Fälle: verlorenes Notebook, Mail mit offenem Verteiler an viele Empfänger, gehackter Zugang, versehentlich öffentlich gestellte Datei.

Und: 72 Stunden laufen auch am Wochenende.

Das ist der häufigste Datenschutzvorfall in kleinen Betrieben überhaupt — und ja, es ist einer.

Was zu tun ist:

1. Nicht zurückrufen versuchen. Eine „Rückruf“-Mail macht die Sache öffentlicher.
2. Bewerten: Wie viele Adressen, wie sensibel ist der Zusammenhang? Ein Verteiler von Vereinsmitgliedern ist etwas anderes als einer von Patienten oder Schuldnerberatungskunden.
3. Dokumentieren.
4. Melden, wenn ein Risiko besteht — bei sensiblem Zusammenhang praktisch immer.
5. Betroffene informieren und sich entschuldigen. Kurz, sachlich, ohne Ausflüchte.

Und die Vorbeugung, die den Fall unmöglich macht: Serienmails nicht von Hand aus dem Mailprogramm verschicken. Genau dafür gibt es Kampagnen — dort bekommt jeder Empfänger seine eigene Mail.

Für Angaben über Gesundheit, Herkunft, Religion, politische Meinung, Gewerkschaftszugehörigkeit, Sexualleben und biometrische Daten gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen (Art. 9).

Das betrifft mehr Betriebe, als man denkt:

• Eine Notiz „ist im Rollstuhl“ ist eine Gesundheitsangabe.
• „Kann samstags nicht, orthodox“ ist eine Angabe über Religion.
• Eine Bemerkung über eine Schwangerschaft ebenso.

Was Sie tun sollten: Solche Angaben gar nicht erst erfassen, außer sie sind für die Leistung wirklich erforderlich und Sie haben eine tragfähige Grundlage — meist eine ausdrückliche Einwilligung.

Bei Kindern kommt hinzu: Eine Einwilligung erfordert unter 16 Jahren die Zustimmung der Sorgeberechtigten.

Sachlich, vollständig, freundlich, und ohne Rechtfertigung.

Ein Aufbau, der trägt:

1. Bestätigung: „Ihre Anfrage vom … haben wir erhalten.“
2. Was Sie gespeichert haben, als Aufstellung oder Anlage.
3. Herkunft, Zweck, Rechtsgrundlage, Speicherdauer, Empfänger.
4. Was Sie getan haben — gesperrt, gelöscht, berichtigt.
5. Was bleibt und warum, mit der Frist.
6. Belehrung über die weiteren Rechte und das Beschwerderecht.
7. Ansprechpartner für Rückfragen.

Was Sie weglassen sollten: Erklärungen, warum Sie im Recht sind, und Versuche, die Person umzustimmen. Eine Auskunft ist keine Verhandlung.

Antworten Sie schriftlich und heben Sie die Antwort auf — der Nachweis, dass Sie fristgerecht geantwortet haben, ist Ihre Sache.