FRAGE:
Bei unserer Kundenhotline hat sich ein Betroffener per E-Mail gemeldet. Er wünschte Auskunft zu den bei uns gespeicherten Daten und setzte uns dafür eine Frist von 3 Wochen. Angegeben hatte er nur Name und Vorname sowie eine E-Mail-Adresse.
Wir haben nun folgendes Problem: Die Kombination aus Vor- und Nachnamen finden wir mehrfach in unseren Systemen, allerdings handelt es sich wohl um unterschiedliche Kunden. Die vom Betroffenen für die Anfrage verwendete E-Mail-Adresse ist bei keinem Kundenkonto hinterlegt. Auf E-Mails reagierte der Betroffene bislang nicht. Wegen der gesetzten Frist wird man bei uns nun etwas nervös. Daher kam man auf folgende Idee: Man könnte doch versuchen, den Betroffenen über soziale Netzwerke oder auch per Telefon zu kontaktieren. Schließlich finden sich im örtlichen Telefonbuch mehrere Personen mit identischem Vor- und Nachnamen. Als Datenschutzbeauftragter habe ich hier Bauchschmerzen. Dürfen wir die möglichen Betroffenen so kontaktieren?
ANTWORT:
Zunächst zur Frist – von einer Ihrem Unternehmen gesetzten Frist sollten Sie und die Kollegen sich nicht beeindrucken lassen. Für Ihr Unternehmen relevant ist hier das, was Art. 12 Datenschutz-Grundverordnung (DSGVO) festlegt. So ergibt sich aus Art. 12 Abs. 3 DSGVO, dass Ihr Unternehmen dem Betroffenen etwa bei geltend gemachter Auskunft die Informationen unverzüglich zur Verfügung stellen muss. Unverzüglich bedeutet, dass Ihr Unternehmen die Sache ohne schuldhaftes Zögern bearbeiten muss. Ein Zeitschinden oder Bummeln ist also nicht drin. Außerdem ist festgelegt, dass die Bearbeitung grundsätzlich binnen eines Monats nach Antragseingang erfolgt sein muss. Allerdings kann die Frist um zwei Monate verlängert werden, etwa wenn die Sache kompliziert ist.
In Ihrem Fall muss Ihnen die gesetzte Frist nicht nur wegen der Regelung in Art. 12 Abs. 3 Satz 1 DSGVO keine Sorge bereiten. Ihr Unternehmen hat begründete Zweifel an der Identität der antragstellenden natürlichen Person. Hier kann Ihr Unternehmen zusätzliche Informationen anfordern, welche zur Identifizierung des Betroffenen erforderlich sind (Art. 12 Abs. 6 DSGVO). Das kann Ihr Unternehmen im vorliegenden Fall dadurch machen, dass es sich an die antragstellende Person wendet. Diese kann gebeten werden, dass sie sich mit Ihrer Hotline in Verbindung setzt, damit identifizierende Informationen abgefragt werden. So kann die Person etwa nach Informationen gefragt werden, die nur ihr vorliegen dürften, etwa Kundennummer, im Kundenkonto hinterlegte E-Mail-Adresse oder letzten getätigten Einkauf.
Reagiert die Person nicht auf die an sie gerichteten E-Mails, kann sich Ihr Unternehmen zurücklehnen und abwarten, bis man sich wieder meldet. Zumindest wird eine Datenschutzaufsichtsbehörde eher nicht zu einem Bußgeld tendieren, selbst wenn sich der Betroffene beschweren sollte. Schließlich hat dieser nicht daran mitgewirkt, Zweifel an seiner Identität auszuräumen.
Erteilen Sie kreativen Ideen eine Absage:
Von den sonstigen Ideen, etwa der Kontaktaufnahme über soziale Netzwerke oder dem Abtelefonieren von Telefonbucheinträgen, sollten die Kollegen lieber absehen. Das birgt große Risiken. Zum einen kommt es zu einer Verarbeitung personenbezogener Daten. Das heißt: Ihr Unternehmen müsste hierfür über eine Rechtsgrundlage verfügen. Selbst wenn man an ein überwiegendes berechtigtes Interesse (Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO) denkt, könnte es bei Namensgleichheiten leicht dazu kommen, dass der Falsche kontaktiert wird. Es lässt sich einfach begründen, dass die Interessen der Falschen leicht das Interesse Ihres Unternehmens überwiegen. Im Übrigen könnten Informationen in falsche Hände geraten.
Sie möchten eine Arbeitshilfe herunterladen, aber haben noch keinen Zugang?
Testen Sie jetzt ‘Datenschutz aktuell professional’ und erhalten Sie Zugriff auf eine Vielzahl hilfreicher Mustervorlagen, Checklisten und Schritt-für-Schritt-Anleitungen, die Ihren Alltag optimieren!