Wir wurden gefragt: Wie weit geht die Auskunftspflicht der DSGVO?

Die Datenschutzgrundverordnung ist erst seit ein paar Tagen endgültig in Kraft getreten, schon häufen sich die Fragen des richtigen Umgangs mit Kundenanfragen. Was Händler hierbei beachten müssen und ob jedem Anfragenden eine Auskunft erteilt werden muss, klären wir hier.

Umfassendes Recht der Kunden

Durch Einführung der DSGVO wurden die Rechte des Einzelnen noch einmal gestärkt und durch die ausgeweiteten Informationspflichten nun gezielt in den Fokus gerückt. So steht jeder natürlichen Person ein umfassendes Recht zu, in Erfahrung zu bringen, wer, welche Daten von ihnen gespeichert oder weitergegeben hat.

Händler, die entsprechende Anfragen erhalten, haben einen Monat Zeit, dem Verlangen des Kunden nachzugehen. In diesen Fällen müssen Händler anhand der Angaben des Anfragenden (E-Mail-Adresse oder Namen) heraussuchen, ob und welche Daten der Person gespeichert sind. Was genau in der Mitteilung an den Kunden stehen muss, definiert Art.15 DSGVO. Danach müssen folgende Informationen enthalten sein:

• die Zwecke, zu denen die Verarbeitung der Daten erfolgte,
• die Kategorien personenbezogener Daten, die verarbeitet werden,
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
• falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
• wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person;
• das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde.
  
  

Für die letzten beiden Punkte können Händler die entsprechenden Klauseln aus ihrer Datenschutzerklärung verwenden. Da diese Umsetzung eine große Belastung für jeden Händler darstellen kann, gibt es inzwischen entsprechende Plugins, die Händler bei der Informationserteilung unterstützen.

Entsprechende Mitteilung auch gegenüber Nichtkunden

Händler erreichten seit dem 25. Mai auch vermehrt Anfragen von Personen, bei denen es sich um keine Kunden handelt. Dementsprechend sind über diese auch keine Daten gespeichert. Händler dürfen dennoch auch diese Anfragen nicht ignorieren, denn eine Auskunft ist auch diesen Personen gegenüber zu erteilen. Sofern Händler keine Bestellung und keine Daten zu einer Anfrage finden können, ist dies ebenfalls entsprechend Anfragenden mitzuteilen.

Neben Auskunft kann auch Löschung verlangt werden

Kunden steht nach der DSGVO neben der Auskunft auch ein Anspruch auf Löschung der gespeicherten Daten zu. Als Löschung ist dabei die dauerhafte, nicht wieder herstellbare Unkenntlichmachung zu verstehen. Händler dürfen hierbei aber nicht vergessen, dass die Löschung auch an den Stellen erfolgen muss, wohin sie Daten übermittelt haben. Dazu zählen unter anderem Zahlungs- und Newsletter-Dienste. Daher müssen Händler auch diese Stellen darüber informieren. Sobald die geforderte Löschung erfolgt ist, sollte der Kunde auch hierüber informiert werden.

Sperrung, falls Löschung nicht möglich ist

Doch es gibt Daten, die Händler nicht löschen dürfen. Dies kommt vor, wenn der Löschung gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen der Daten entgegenstehen. Diese ergeben sich größtenteils aus dem Handelsgesetzbuch und/oder dem Steuerrecht. Hierzu zählen auszugsweise:

• § 257 HGB: Bücher und Belege sind 10 Jahre aufzubewahren.
• § 147 Abgabenordnung: Unterlagen sind 6 bzw. 10 Jahre aufzubewahren.
• § 14b Umsatzsteuergesetz: Die Doppel der Rechnungen sind 10 Jahre aufzubewahren.

Da dennoch dem Wunsch des Kunden so gut wie möglich entsprochen werden soll, müssen Händler in diesen Fällen die Daten des Kunden sperren. Dies geschieht, indem die Daten einer weiteren Nutzung oder Verarbeitung entzogen werden, entweder durch Separieren und Verschlüsseln oder bei analogen Daten durch einen schriftlichen Vermerk.

Antwort

Jede Anfrage löst leider eine Handlungspflicht aus. Falls tatsächlich Daten über den Kunden gespeichert sind, müssen Händler in einer doch relativ kurzen Zeitspanne eine hohe Anzahl an Angaben zur Verfügung stellen. Eine Nichtbeachtung hingegen kann zu einer Sanktion nach Art.83 DSGVO und den damit verbundenen hohen Strafen führen.