Negativauskunft bei Betroffenenanfragen: Vorsicht vor dem Eigentor

Selbst Jahre nach Einführung der Datenschutz-Grundverordnung (DSGVO) versetzen Auskunftsersuchen viele Unternehmen kurzzeitig in eine Schockstarre. Schließlich handelt es sich hierbei um eines der weitreichendsten Rechte der betroffenen Personen. Das Auskunftsrecht nach Art. 15 DSGVO ermöglicht es den Anfragenden, umfassende Informationen darüber zu erhalten, ob und in welchem Umfang ihre personenbezogenen Daten verarbeitet werden. Darüber hinaus beinhaltet das Recht gegebenenfalls auch eine Kopie der verarbeiteten Daten.

Doch was passiert, wenn keine personenbezogenen Daten der anfragenden Person verarbeitet werden? Eigentlich könnte man die Auskunft in einem solchen Fall recht schnell beantworten: “Wir verarbeiten keine personenbezogenen Daten von Ihnen”. Allerdings lauert hier eine potenzielle Falle, die oft übersehen wird: Was ist mit den Daten aus der Anfrage selbst?

Bevor wir tiefer in das Thema Negativauskunft einsteigen, sollten wir uns ein paar Grundsätze bei Betroffenenanfragen ins Gedächtnis rufen: Eine Betroffenenanfrage gemäß Art. 15 DSGVO erfordert mehrere grundlegende Schritte, um korrekt und fristgerecht zu antworten.

Zuerst muss stets die Identität der anfragenden Person verifiziert werden. Es muss sichergestellt werden, dass die Person, die die Anfrage stellt, tatsächlich die betroffene Person ist. Dies ist besonders wichtig, um den unberechtigten Zugriff auf personenbezogene Daten durch Dritte zu verhindern. Eine unsachgemäße Identitätsprüfung könnte zu Datenschutzverstößen führen. Weitere Details hierzu finden sich in unserem separaten Artikel über die Identitätsprüfung bei Betroffenenanfragen.

Danach muss das Unternehmen sicherstellen, dass die Anfrage fristgerecht beantwortet wird. Nach Art. 12 Abs. 3 DSGVO ist die Antwort „unverzüglich, in jedem Fall aber binnen eines Monats“ zu erteilen. In Ausnahmefällen kann diese Frist um weitere zwei Monate verlängert werden, allerdings nur unter Angabe triftiger Gründe. Unternehmen sollten diese Verlängerungsmöglichkeit jedoch nicht übermäßig in Anspruch nehmen. Das Arbeitsgericht Duisburg hat in einem Urteil vom 03. November 2023 klargestellt (AZ 5 Ca 877/23), dass selbst eine Antwort binnen 19 Tagen in bestimmten Fällen als zu spät gelten kann, wenn die Auskunft leicht zu erbringen gewesen wäre. Es ist daher ratsam, Betroffenenanfragen so schnell wie möglich zu bearbeiten, um unangenehme Konsequenzen zu vermeiden.

Eine Negativauskunft ist die Antwort auf eine Auskunftsanfrage, in der mitgeteilt wird, dass keine personenbezogenen Daten der anfragenden Person verarbeitet werden. Auch wenn keine Daten vorhanden sind, hat der Betroffene ein Recht auf diese Information. Es reicht nicht, die Anfrage zu ignorieren oder keine Antwort zu geben. Eine Negativauskunft dient der Transparenz und dem Nachweis, dass das Unternehmen den Anforderungen der DSGVO nachkommt.

Eine Negativauskunft ist erforderlich, wenn ein Unternehmen nach einer gründlichen Prüfung feststellt, dass keine personenbezogenen Daten der betroffenen Person verarbeitet werden. Dies kann in folgenden Situationen der Fall sein:

• Der Betroffene war nie Kunde oder Nutzer des Unternehmens.
• Es gibt keine Aufzeichnungen über Interaktionen mit der anfragenden Person.
• Die gespeicherten Daten wurden bereits gelöscht.

In der Praxis kommt es häufig vor, dass Unternehmen keinerlei personenbezogene Daten des Betroffenen verarbeiten. An diesem Punkt könnte man davon ausgehen, dass die Antwort trivial ist. Doch hier ist Vorsicht geboten: Denn bereits die Anfrage selbst – sei es per E-Mail oder über ein Formular – enthält in der Regel personenbezogene Daten, wie etwa den Namen, die E-Mail-Adresse oder andere Identifikationsmerkmale. Diese Verarbeitung muss in der Auskunft ebenfalls berücksichtigt werden.

Wenn das Unternehmen keine personenbezogenen Daten des Anfragenden verarbeitet, außer den Informationen, die es durch die Anfrage selbst erhalten hat, sollte die Negativauskunft dennoch präzise und vollständig sein. Neben der Klarstellung, dass keine weiteren Daten verarbeitet werden, sollte explizit darauf hingewiesen werden, dass die Daten aus der Anfrage verarbeitet wurden und wie damit verfahren wird.

Daten, die im Rahmen einer Auskunftsanfrage nach Art. 15 DSGVO verarbeitet werden, sollten in der Regel für einen Zeitraum von drei Jahren aufbewahrt werden. Dieser Zeitraum orientiert sich an der gesetzlichen Verjährungsfrist nach § 195 BGB, innerhalb derer potenzielle Ansprüche aus datenschutzrechtlichen Verstößen geltend gemacht werden können. Das bedeutet, dass Unternehmen die Daten der Anfrage bis zu drei Jahre lang speichern, um Nachweise über die Erfüllung ihrer Auskunftspflicht zu sichern und sich vor möglichen rechtlichen Forderungen zu schützen. Nach Ablauf dieser Frist sollten die Daten gelöscht werden, sofern keine weiteren rechtlichen Aufbewahrungspflichten bestehen.

Wenn ein Betroffener im Rahmen einer Negativauskunft eine Kopie seiner personenbezogenen Daten fordert, ist dies nur dann möglich, wenn tatsächlich personenbezogene Daten des Betroffenen verarbeitet werden. Bei einer Negativauskunft, in der mitgeteilt wird, dass keine personenbezogenen Daten über den Betroffenen vorliegen, entfällt die Pflicht zur Bereitstellung einer Kopie, da schlichtweg keine Daten existieren, die kopiert oder weitergegeben werden könnten.

Falls du ein Muster für eine Negativauskunft erstellen möchtest, stellen wir dir gerne ein kostenloses Muster zur Verfügung. Dieses kannst du einfach herunterladen und an die Anforderungen deines Unternehmens anpassen. Es enthält alle notwendigen rechtlichen Bestandteile und Formulierungen, um den Anforderungen der DSGVO zu entsprechen.