Ein Kunde fragt nach allen seinen Daten. Weiß Ihre Automatisierung, wo sie liegen?

Vor ein paar Monaten bekam ein Kunde von mir eine E-Mail mit einem Satz, der ihm den Nachmittag ruiniert hat: "Bitte senden Sie mir innerhalb der gesetzlichen Frist eine vollständige Kopie aller personenbezogenen Daten, die Sie über mich gespeichert haben." Kein Anwaltsbriefkopf, keine Drohung. Ein normaler Kunde, der sein Recht aus Artikel 15 DSGVO wahrnimmt.

Der Geschäftsführer rief mich an und fragte: "Wo liegen die überhaupt alle?" Und da fing das eigentliche Problem an. Denn dieser Betrieb hatte über zwei Jahre eine hübsche, funktionierende Automatisierungslandschaft aufgebaut. CRM, Newsletter-Tool, ein Ticketsystem, drei Google Sheets, ein Data Warehouse, und dazwischen ungefähr fünfzehn Automatisierungen in Make und n8n, die Daten hin und her schoben. Jede einzelne davon erzeugte Kopien. Und niemand hatte je aufgeschrieben, wo eine bestimmte Person am Ende überall auftaucht.

Ein Auskunftsersuchen ist keine technische Frage. Es ist ein Test, ob Sie Ihre eigene Datenlandschaft verstehen. Und Automatisierung, so nützlich sie ist, macht diese Landschaft heimlich größer, als die meisten glauben.

Ich schreibe das nicht, um Ihnen Automatisierung auszureden. Ich baue selbst welche, jeden Tag. Aber ich habe genug dieser Anfragen aus der Nähe erlebt, um zu wissen, dass der Moment, in dem ein Auskunftsersuchen eintrifft, der falsche Zeitpunkt ist, um zum ersten Mal darüber nachzudenken, wo die Daten eigentlich liegen. Dieser Beitrag ist der Versuch, Ihnen diesen unangenehmen Nachmittag zu ersparen, den mein Kunde damals hatte.

Warum Artikel 15 in automatisierten Betrieben besonders wehtut

Das Auskunftsrecht gibt es seit 2018. Die meisten Unternehmen haben irgendwann einen Prozess dafür gebaut, meistens rund um zwei oder drei Kernsysteme. Man schaut ins CRM, exportiert die Kundenakte, schaut ins Rechnungsprogramm, fertig. Das hat funktioniert, solange Daten an wenigen, bekannten Orten lagen.

Automatisierung verändert genau diese Voraussetzung. Sie verteilt Daten. Das ist ihr Job. Ein Kontakt, der sich über ein Formular anmeldet, landet nicht mehr nur im CRM. Er landet im CRM, im E-Mail-Tool, in einer Tabelle für das Reporting, in den Ausführungslogs von vier Automatisierungen, und wenn es dumm läuft in einer Slack-Nachricht, die eine Automatisierung ins Vertriebs-Channel geschrieben hat.

Die Frist läuft ab der ersten Minute

Sie haben einen Monat. Das steht in Artikel 12 Absatz 3 DSGVO. Ab Eingang des Antrags, nicht ab dem Moment, in dem Sie sich zuständig fühlen. Verlängern können Sie um zwei weitere Monate, aber nur bei Komplexität und nur mit Begründung, die Sie innerhalb des ersten Monats mitteilen müssen. In der Praxis heißt das: Sie haben vier Wochen, um herauszufinden, wo eine Person in Ihrem gesamten System auftaucht, das Ganze zusammenzustellen, zu prüfen, ob fremde Daten mit drin hängen, und eine saubere Kopie zu übergeben.

Wenn Sie erst nach Eingang anfangen, eine Liste Ihrer Systeme zu erstellen, ist die Frist schon zur Hälfte weg, bevor Sie den ersten Datensatz gezogen haben. Das ist der Grund, warum Auskunftsersuchen so oft in Hektik enden. Nicht weil die Systeme so kompliziert sind, sondern weil niemand vorher wusste, wie viele es sind.

Automatisierung erzeugt Kopien, die niemand geplant hat

Der Punkt, den viele übersehen: Eine Automatisierung bewegt Daten selten nur. Sie kopiert sie. Wenn ein Zap einen neuen Kontakt aus dem Shop ins CRM schreibt, existiert die Person danach an beiden Orten. Wenn dieselbe Person später eine Support-Anfrage stellt und eine zweite Automatisierung daraus einen Datensatz im Data Warehouse baut, existiert sie an drei Orten. Keine dieser Kopien ist ein Fehler. Jede hatte einen Grund. Aber in Summe entsteht eine Datenspur, die kein Mensch mehr im Kopf hat.

Und diese Spur reicht weiter, als man denkt. Ausführungslogs speichern Ein- und Ausgabedaten, oft im Klartext. Fehler-Benachrichtigungen enthalten den fehlgeschlagenen Datensatz. Ein Backup-Sheet, das eine Automatisierung "zur Sicherheit" mitschreibt, liegt seit anderthalb Jahren in einem Ordner, den keiner mehr öffnet. All das sind personenbezogene Daten, wenn eine natürliche Person darin identifizierbar ist. Und all das gehört grundsätzlich in eine Auskunft.

Der Aufwand eines Auskunftsersuchens hängt am Ende nicht davon ab, wie viele Kunden Sie haben, sondern davon, an wie vielen Orten ein einzelner Kunde vorkommt. Automatisierung erhöht diese Zahl still und leise.

Was eine Auskunft überhaupt enthalten muss

Viele denken beim Auskunftsrecht nur an die Kopie der Daten. Die ist aber nur ein Teil. Artikel 15 verlangt eine ganze Reihe zusätzlicher Angaben, und ausgerechnet die machen in automatisierten Betrieben Arbeit. Sie müssen der Person mitteilen, zu welchen Zwecken Sie ihre Daten verarbeiten, welche Kategorien von Daten das sind, an welche Empfänger die Daten gehen, wie lange Sie sie speichern, woher die Daten stammen, wenn Sie sie nicht direkt bei der Person erhoben haben, und ob eine automatisierte Entscheidungsfindung oder ein Profiling stattfindet.

Die Empfänger sind Ihre Automatisierung

Der Punkt, der bei automatisierten Betrieben am häufigsten unterschätzt wird, sind die Empfänger. Jedes Tool, in das eine Automatisierung Daten schreibt, ist ein Empfänger im Sinne der DSGVO. Ihr E-Mail-Dienstleister. Ihr Ticketsystem. Der Cloud-Anbieter, auf dem Ihr Data Warehouse läuft. Der Automatisierungsdienst selbst, wenn er in einem Drittland gehostet wird. Eine ehrliche Auskunft nennt diese Empfänger oder zumindest ihre Kategorien. Und das können Sie nur, wenn Sie wissen, wohin Ihre Automatisierungen die Daten überhaupt schicken. Wieder landen wir bei derselben Grundfrage, nur aus einem anderen Blickwinkel.

Profiling und automatisierte Entscheidungen

Ein oft vergessener Absatz ist Artikel 15 Absatz 1 Buchstabe h. Findet eine automatisierte Entscheidungsfindung statt, muss die Auskunft aussagekräftige Informationen über die zugrunde liegende Logik enthalten. Wer ein Lead-Scoring betreibt, das Kontakte automatisch bewertet und priorisiert, verarbeitet genau solche Daten. Wer eingehende Anfragen automatisch klassifiziert und daraufhin unterschiedlich behandelt, ebenso. Das heißt nicht, dass Sie Ihren gesamten Algorithmus offenlegen müssen, aber Sie müssen erklären können, dass und wie eine Bewertung stattfindet. Automatisierung erzeugt also nicht nur mehr Datenorte, sie erzeugt auch neue Auskunftspflichten, an die beim Bau der Workflows selten jemand denkt.

Die Kopie der Daten selbst ist am Ende oft der leichtere Teil. Die Kür ist, sauber zu benennen, was mit den Daten passiert, und dafür müssen Sie Ihre eigene Automatisierung verstehen.

Wo Ihre Daten wirklich liegen, und warum es niemand aufgeschrieben hat

Setzen Sie sich einmal hin und zeichnen Sie auf, durch welche Systeme die Daten eines einzigen Kontakts laufen, von der ersten Anmeldung bis heute. Die meisten Teams unterschätzen das Ergebnis um den Faktor drei. Ich habe das mit mehreren Kunden gemacht, und fast immer kommt am Ende eine Tabelle heraus, die länger ist, als alle im Raum erwartet hätten.

So eine Tabelle sieht typischerweise so aus:

Sieben Zeilen, und dabei habe ich Backups und das E-Mail-Postfach noch weggelassen. Der Punkt ist nicht, dass sieben Systeme viel sind. Der Punkt ist, dass die Zeilen fünf bis sieben in fast keiner Datenschutz-Dokumentation auftauchen, obwohl sie am schwersten zu durchsuchen sind.

Der blinde Fleck: Zwischenspeicher, Logs und "temporäre" Ablagen

Fragen Sie in Ihrem Betrieb, wo Kundendaten liegen, dann bekommen Sie das CRM, das Rechnungssystem und vielleicht das E-Mail-Marketing genannt. Was Sie fast nie hören: die Logs. Dabei sind Ausführungslogs bei genau denselben Systemen oft die reichhaltigste Datenquelle überhaupt, weil sie den vollständigen Payload jeder Ausführung speichern, inklusive Feldern, die im Zielsystem längst wieder gelöscht wurden.

Genauso übersehen werden temporäre Tabellen. Jemand baut eine Automatisierung, die Daten kurz in einem Google Sheet zwischenparkt, bevor sie weiterverarbeitet werden. "Kurz" bedeutet in der Praxis "für immer", weil niemand die Zeile hinterher löscht. Ich habe Sheets gesehen, die als Zwischenspeicher gedacht waren und drei Jahre Kundendaten enthielten, sauber Zeile für Zeile.

Die Frage, die ein Auskunftsersuchen also wirklich stellt, lautet nicht "Was steht im CRM?". Sie lautet: "Wo überall hat unsere Automatisierung in den letzten Jahren Spuren dieser Person hinterlassen, auch an Orten, die wir vergessen haben?"

Häufige Frage an dieser Stelle: Muss ich auch Daten aus den Ausführungslogs meiner Automatisierung herausgeben? Kurz gesagt: ja, soweit sie personenbezogen sind und noch existieren. Ein Log ist kein rechtsfreier Raum. Enthält es Name, E-Mail oder andere identifizierende Daten der anfragenden Person und ist es zum Zeitpunkt der Anfrage noch gespeichert, fällt es unter das Auskunftsrecht. Der einzige saubere Weg, Logs aus dem Scope zu bekommen, ist, sie vorher automatisch und kurz zu löschen, nicht, sie im Ernstfall zu übersehen.

Warum das Durchsuchen technisch unangenehm ist

Ein CRM können Sie nach einer E-Mail-Adresse durchsuchen, das ist dafür gebaut. Bei den Nebensystemen wird es unangenehm. Die Ausführungslogs von Make oder n8n sind nicht als durchsuchbare Datenbank gedacht, sondern als Protokoll. Sie können pro Szenario die Läufe ansehen, aber eine Volltextsuche über alle Läufe nach einer bestimmten Person gibt es standardmäßig nicht. Wenn eine Person in den Logs von fünf verschiedenen Automatisierungen vorkommen könnte, müssen Sie fünf Protokolle einzeln prüfen, und je nach Aufbewahrung reicht das nur so weit zurück, wie die Logs eben gespeichert werden.

Genau hier zahlt sich eine Entscheidung aus, die man lange vorher trifft: Speichern Sie in Ausführungslogs so wenig personenbezogene Daten wie möglich und löschen Sie sie so früh wie vertretbar. Ein Log, das nach dreißig Tagen automatisch verschwindet und ohnehin keine Klartext-Personendaten enthält, ist im Auskunftsfall kein Problem. Ein Log, das seit zwei Jahren jeden vollständigen Datensatz speichert, ist eine Zeitbombe, die bei jeder Anfrage tickt. Datensparsamkeit ist nicht nur ein Prinzip aus dem Gesetz, sie ist der Grund, warum die eine Auskunft eine Stunde dauert und die andere eine Woche.

Bei manchen Systemen, etwa selbst gehostetem n8n mit eigener Datenbank, können Sie die Ausführungsdaten direkt in der Datenbank durchsuchen, was den Aufwand deutlich senkt. Bei gehosteten Diensten sind Sie auf deren Oberfläche und Aufbewahrungsregeln angewiesen. Das ist ein Aspekt, den kaum jemand bei der Tool-Auswahl bedenkt, der aber im Ernstfall über Stunden oder Tage entscheidet.

Szenario 1: Der Onlineshop mit den acht Zaps

Ein kleiner Händler, vier Leute, ein solider Shop, dazu acht Automatisierungen in Zapier, über zwei Jahre gewachsen. Klassischer Fall von "hat immer funktioniert, hat nie jemand dokumentiert". Als das erste Auskunftsersuchen kam, saß der Inhaber selbst dran, weil es keine IT-Abteilung gab, an die er es hätte weiterreichen können.

Wir haben an einem Nachmittag alle acht Zaps durchgesehen und aufgeschrieben, welche Personendaten jeder einzelne anfasst und wohin er sie schreibt. Ergebnis: Die Daten eines Kunden lagen im Shop, in Mailchimp, in einem Buchhaltungstool, in zwei Google Sheets und in den Zap-Historien selbst, die bei Zapier standardmäßig eine Weile gespeichert bleiben. Sechs Orte für einen Kontakt, in einem Betrieb mit vier Mitarbeitern.

Der Inhaber war ehrlich überrascht. Nicht weil er schlampig gearbeitet hätte, sondern weil jede einzelne Automatisierung für sich sinnvoll war und niemand die Summe je betrachtet hatte. Das eine Google Sheet zum Beispiel war ursprünglich ein Zwischenschritt für einen Import gewesen, den es längst nicht mehr gab. Die Automatisierung schrieb aber weiter fleißig jede Bestellung hinein, und so lagen dort zwei Jahre Kundendaten, an die niemand mehr gedacht hatte. Wir haben das Ersuchen fristgerecht beantwortet, aber es war knapp, und es hat ihn zwei Arbeitstage gekostet, die er nicht eingeplant hatte.

Die Lehre für diesen Betrieb war nicht "weniger automatisieren". Die Lehre war: einmal aufschreiben, wo die Daten hinlaufen, und diese Liste aktuell halten. Beim nächsten Ersuchen war es eine Sache von zwei Stunden statt zwei Tagen.

Szenario 2: Der Dienstleister mit 200 Mitarbeitern und dem Data Warehouse

Ganz anderer Betrieb, ganz andere Größenordnung. Ein B2B-Dienstleister mit rund 200 Mitarbeitern, eigener IT, einem zentralen Data Warehouse und einem Team, das stolz auf seine "Single Source of Truth" war. Hier war die Erwartung: Ein Auskunftsersuchen ist trivial, wir haben ja alles zentral.

Die Realität sah anders aus. Das Warehouse war zentral, ja. Aber davor und dahinter hingen Dutzende Automatisierungen, die Daten aus Fremdsystemen einsammelten und wieder verteilten. Marketing hatte eigene Tools, die nie ans Warehouse angebunden waren. Der Vertrieb pflegte parallel Datensätze in einem separaten CRM, das über eine Automatisierung nur teilweise synchronisiert wurde. Und die Ausführungslogs der Sync-Strecken lagen in einem System, auf das der Datenschutzbeauftragte nicht einmal Zugriff hatte.

Die "Single Source of Truth" war eine Erzählung über den Idealzustand, nicht über die tatsächliche Datenlage. Das ist kein Vorwurf an das Team, das ist der Normalfall. Zentrale Systeme reduzieren die Zahl der Datenorte nicht automatisch, solange die Automatisierungen drumherum weiter Kopien in Nebensysteme streuen.

Konkret fiel bei der Bearbeitung auf, dass ein einzelner Kontakt aus dem separaten Vertriebs-CRM nie im Warehouse angekommen war, weil die Synchronisation ihn stillschweigend übersprungen hatte. Ohne die Prüfung des Nebensystems wäre er in der Auskunft schlicht gefehlt, und das Unternehmen hätte guten Gewissens eine unvollständige Antwort verschickt. Genau solche Lücken sind das eigentliche Risiko, nicht die offensichtlichen Systeme.

Was diesen Kunden gerettet hat, war weniger die Technik als eine Zuständigkeit. Es gab eine Person, die für jede produktive Automatisierung wusste, welche Datenkategorien sie berührt. Nicht in jedem Detail, aber gut genug, um in einem Tag eine belastbare Landkarte zu erstellen. Diese Rolle ist wertvoller als jedes Tool.

Größe und ein zentrales System schützen also nicht vor dem Problem. Sie verschieben es nur. Der kleine Shop hat wenige Orte, aber keine Dokumentation. Der große Dienstleister hat Dokumentation, aber sie beschreibt den Wunschzustand, nicht die vielen Nebenwege, die die Automatisierung geschaffen hat.

Der unterschätzte Fall: die eigene Belegschaft

Fast alle denken beim Auskunftsrecht an Kunden. In der Praxis kommen die heikelsten Anfragen aber oft von Mitarbeitern oder ehemaligen Mitarbeitern. Ein gekündigter Angestellter, der wissen will, welche Daten das Unternehmen über ihn gespeichert hat, hat exakt dasselbe Recht wie jeder Kunde, und er hat oft einen konkreten Grund zu fragen. Solche Anfragen landen erfahrungsgemäß eher vor Gericht, entsprechend genau sollten sie beantwortet werden.

Und hier wird die automatisierte Datenlandschaft noch dichter. Über einen Mitarbeiter liegen Daten im Personalsystem, in der Zeiterfassung, im Ticketsystem, in Projektmanagement-Tools, in Kalendern, in Chat-Verläufen, und je nach Betrieb in diversen Automatisierungen, die im Hintergrund laufen. Wer eine Automatisierung gebaut hat, die etwa Anwesenheiten auswertet oder Aufgaben automatisch zuweist, verarbeitet Mitarbeiterdaten an Stellen, die im klassischen Personaldenken gar nicht vorkommen.

Besonders sensibel wird es, wenn Automatisierungen Verhalten protokollieren. Ein Workflow, der jede Statusänderung eines Tickets mit Zeitstempel und Bearbeiter mitschreibt, erzeugt nebenbei ein Leistungsprofil. Ob das arbeitsrechtlich überhaupt zulässig ist, steht auf einem anderen Blatt. Für die Auskunft zählt: Wenn die Daten existieren und sich auf die anfragende Person beziehen, muss die Auskunft sie umfassen. Ich habe erlebt, dass Unternehmen bei einer Mitarbeiteranfrage erst durch das Zusammentragen der Daten gemerkt haben, wie viel ihre eigenen Automatisierungen eigentlich über die Belegschaft festhalten. Das ist ein unangenehmer, aber heilsamer Moment.

Die Konsequenz ist keine andere als bei Kundendaten, nur mit höherem Einsatz: Sie müssen wissen, wo die Daten liegen, bevor jemand fragt. Bei der Belegschaft kommt hinzu, dass ein schlecht beantwortetes Auskunftsersuchen das Vertrauensverhältnis dauerhaft beschädigt und im Streitfall gegen Sie verwendet wird.

Warum sich der Aufwand rechnet

An dieser Stelle fragt sich mancher Geschäftsführer, ob das den Aufwand wert ist. Ein Auskunftsersuchen im Jahr, vielleicht zwei, warum dafür ein System aufbauen? Die Antwort hat zwei Seiten.

Die eine ist das Risiko. Nicht oder zu spät beantwortete Auskunftsersuchen sind einer der häufigsten Gründe für Beschwerden bei den Aufsichtsbehörden, und sie sind besonders unangenehm, weil sie leicht nachweisbar sind. Die Person hat gefragt, Sie haben nicht oder unvollständig geantwortet, das ist eine klare Faktenlage. Bußgelder wegen missachteter Betroffenenrechte sind verhängt worden, und die Höhe richtet sich nicht danach, wie klein Ihr Betrieb ist.

Die andere Seite ist der Nebeneffekt, und der ist eigentlich der wertvollere. Wer eine Datenlandkarte pflegt, hat nicht nur Auskunftsersuchen im Griff. Er kann auch Löschungen sauber umsetzen, weiß bei einer Datenpanne sofort, welche Systeme betroffen sind, und trifft bei neuen Automatisierungen bessere Entscheidungen, weil er sieht, wo Daten ohnehin schon liegen. Die Arbeit, die Sie für das Auskunftsrecht investieren, zahlt auf Ihre gesamte Datenschutzorganisation ein. Das Auskunftsersuchen ist nur der Anlass, der Sie dazu bringt, endlich hinzuschauen.

Die Datenlandkarte: das Einzige, was wirklich hilft

Wenn ich aus diesen Projekten eine einzige Empfehlung destillieren müsste, wäre es diese: Führen Sie eine Datenlandkarte. Kein 80-seitiges Dokument, kein zertifiziertes Verzeichnis, das nach der Erstellung nie wieder angefasst wird. Eine schlichte, lebende Übersicht, die eine Frage beantwortet: Wenn eine Person nach ihren Daten fragt, wo müssen wir überall nachsehen?

Was in die Landkarte gehört

Pro System oder Automatisierung reichen fünf Angaben. Welches System. Welche Kategorien personenbezogener Daten es speichert. Woher die Daten kommen, also welche Automatisierung oder welcher manuelle Schritt sie hineinschreibt. Wie lange sie dort bleiben. Und wer im Haus zuständig ist, das System im Ernstfall zu durchsuchen.

Das ist bewusst schlicht. Eine Datenlandkarte, die zu detailliert ist, wird nicht gepflegt und ist nach sechs Monaten falsch. Eine, die nur die fünf wichtigsten Fragen beantwortet, überlebt den Alltag. Der Zweck ist nicht Vollständigkeit im juristischen Sinn, sondern die Fähigkeit, im Ernstfall in einer Stunde zu wissen, wo man suchen muss.

Wie sie nicht verrottet

Der Trick ist, die Landkarte an den Moment zu koppeln, in dem ohnehin etwas geändert wird. Jedes Mal, wenn eine neue Automatisierung produktiv geht, kommt eine Zeile dazu. Jedes Mal, wenn eine abgeschaltet wird, verschwindet sie. Das ist eine Gewohnheit, kein Projekt. Wer die Landkarte nur einmal im Jahr in einem großen Rutsch aktualisiert, hat elf Monate lang ein falsches Dokument.

Bei einem Kunden haben wir das direkt in den Freigabeprozess für neue Automatisierungen eingebaut. Eine Automatisierung geht nur produktiv, wenn ihre Zeile in der Landkarte steht. Das kostet fünf Minuten pro Automatisierung und erspart im Ernstfall Tage. Kein Werkzeug der Welt ersetzt diese eine Gewohnheit.

Wie ein Auskunftsersuchen sauber abläuft

Wenn die Landkarte existiert, wird aus einem Kraftakt ein Prozess. So sieht er aus, wenn er funktioniert.

Zuerst dokumentieren Sie den Eingang. Datum notieren, denn ab hier läuft die Monatsfrist. Dann prüfen Sie die Identität der Person, sorgfältig, aber ohne übertriebene Hürden. Sie dürfen bei begründeten Zweifeln zusätzliche Informationen zur Identifizierung verlangen, Sie dürfen aber nicht mehr Daten fordern, als für die Bestätigung nötig sind. Ein Ausweisscan ist selten verhältnismäßig, wenn die Person ohnehin über ihre bekannte E-Mail-Adresse schreibt.

Dann nehmen Sie die Landkarte und gehen sie Zeile für Zeile ab. Jedes System, das Daten der Person enthalten könnte, wird durchsucht. Genau dafür existiert die Landkarte: damit dieser Schritt eine Checkliste ist und keine Erinnerungsübung. Sie ziehen die Daten, prüfen sie auf Daten Dritter, die nicht mit herausgegeben werden dürfen, und stellen eine strukturierte, verständliche Kopie zusammen. Verständlich heißt: nicht ein roher Datenbank-Export mit kryptischen Feldnamen, sondern etwas, das die Person tatsächlich lesen kann.

Zum Schluss übergeben Sie sicher. Nicht als offene E-Mail mit dem gesamten Datensatz im Anhang, sondern über einen geschützten Weg, den Sie ohnehin für sensible Übermittlungen nutzen. Und Sie dokumentieren, was Sie herausgegeben haben, damit Sie im Zweifel belegen können, dass die Auskunft vollständig und fristgerecht war.

Häufige Frage: Wie lange habe ich für eine Auskunft Zeit? Grundsätzlich einen Monat ab Eingang des Antrags. Bei besonders komplexen oder zahlreichen Anfragen können Sie um zwei Monate verlängern, müssen die Person aber innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren. Die Frist ist kein Richtwert, sondern eine harte Grenze, und ihre Überschreitung ist einer der häufigsten Anlässe für Beschwerden bei den Aufsichtsbehörden.

Wo das Recht seine Grenzen hat

Das Auskunftsrecht ist weit, aber nicht grenzenlos, und es lohnt sich, die Grenzen zu kennen, statt sie zu raten. Bei offensichtlich unbegründeten oder exzessiven Anträgen, etwa wenn dieselbe Person in kurzer Folge immer wieder identische Auskünfte verlangt, dürfen Sie ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern. Der Maßstab dafür ist allerdings hoch, und die Beweislast liegt bei Ihnen. Verlassen Sie sich nicht darauf, eine unbequeme Anfrage als exzessiv abtun zu können, das geht in den allermeisten Fällen schief.

Ebenso müssen Sie Daten Dritter schützen und dürfen Geschäftsgeheimnisse wahren, aber beides rechtfertigt keine pauschale Verweigerung. Sie müssen dann schwärzen oder einzelne Teile zurückhalten und das begründen, nicht die gesamte Auskunft blockieren. In der Praxis ist der sichere Weg fast immer, vollständig und verständlich Auskunft zu geben und nur dort zurückzuhalten, wo es wirklich nötig und begründbar ist. Wer aus Bequemlichkeit mauert, produziert die nächste Beschwerde.

Der Sonderfall Löschung

Ein Auskunftsersuchen kommt selten allein. Oft folgt kurz darauf der Wunsch nach Löschung nach Artikel 17. Und hier schließt sich der Kreis zur Automatisierung: Dieselbe verteilte Datenlandschaft, die die Auskunft schwer macht, macht auch die Löschung schwer. Wenn Sie Daten an zwölf Orten haben, müssen Sie an zwölf Orten löschen, und die Logs und Zwischenspeicher sind wieder die Orte, die vergessen werden. Wer die Datenlandkarte für die Auskunft baut, hat sie für die Löschung gleich mit gebaut. Das ist der eigentliche Grund, warum sich der Aufwand lohnt.

Die Fehler, die ich am häufigsten sehe

Über die Jahre wiederholen sich die Fehler, und sie haben fast nie mit bösem Willen zu tun. Sie entstehen aus Hektik und aus fehlender Vorbereitung.

Der erste ist der rohe Export. Jemand zieht die Daten als CSV oder als JSON aus der Datenbank, hängt sie an eine E-Mail und ist fertig. Rechtlich ist das oft unzureichend, weil die Person die kryptischen Feldnamen und internen Codes nicht versteht, und praktisch ist es unsicher, weil ein kompletter Personendatensatz offen per E-Mail rausgeht. Eine Auskunft muss verständlich sein, nicht nur vollständig.

Der zweite ist die vergessene Schwärzung von Fremddaten. In einer Support-Historie steht der Name eines Mitarbeiters, in einer Notiz die Telefonnummer eines Dritten, in einem E-Mail-Verlauf eine weitere Person im Verteiler. Diese Daten dürfen Sie nicht einfach mit herausgeben, denn die Rechte der anderen Personen bestehen weiter. Wer die Auskunft in letzter Minute zusammenwirft, übersieht das regelmäßig, und aus einer erfüllten Pflicht wird eine neue Datenschutzverletzung.

Der dritte, und der teuerste, ist das Vergessen der Nebensysteme. Die Auskunft aus dem CRM ist sauber und pünktlich, aber die Daten in den Logs, im Reporting-Sheet und im alten Zwischenspeicher fehlen. Fällt das später auf, etwa weil die Person selbst weiß, dass sie irgendwo noch auftaucht, dann war die Auskunft unvollständig. Und eine unvollständige Auskunft ist rechtlich keine Auskunft. Genau dieser Fehler ist der Grund, warum die Datenlandkarte kein bürokratischer Luxus ist, sondern der Unterschied zwischen einer erledigten und einer nur scheinbar erledigten Anfrage.

Ein vierter Fehler betrifft die Frist. Manche verwechseln die Verlängerung mit einem Automatismus. Die zwei zusätzlichen Monate bekommen Sie nicht geschenkt, Sie müssen sie aktiv und begründet innerhalb des ersten Monats anmelden. Wer den Monat verstreichen lässt und dann still weiterarbeitet, hat die Frist gerissen, unabhängig davon, wie gut die Auskunft am Ende aussieht.

Was ich daraus gelernt habe

Ich bin nach diesen Projekten kein Gegner von Automatisierung geworden, im Gegenteil. Aber ich sehe sie inzwischen anders. Jede Automatisierung, die Daten von A nach B bringt, erzeugt eine neue Stelle, an der eine Person auftaucht. Das ist kein Argument, es sein zu lassen. Es ist ein Argument, es aufzuschreiben.

Der teuerste Fehler ist nicht, zu viele Systeme zu haben. Der teuerste Fehler ist, nicht zu wissen, welche man hat. Der kleine Shop mit sechs Datenorten und einer Liste ist besser aufgestellt als der große Dienstleister mit einem zentralen Warehouse und dem festen Glauben, damit sei alles erledigt.

Und das Auskunftsersuchen ist dabei kein lästiger Sonderfall, sondern ein ehrlicher Selbsttest. Wenn Sie die Frage "Wo liegen die Daten dieser einen Person?" nicht innerhalb eines Tages beantworten können, dann haben Sie kein Datenschutzproblem, das erst bei der nächsten Anfrage sichtbar wird. Sie haben es schon. Die Anfrage macht es nur sichtbar.

Mein Rat ist unspektakulär, und genau deshalb funktioniert er. Setzen Sie sich einen Nachmittag hin und zeichnen Sie die Datenspur einer einzigen Person durch Ihre Systeme. Machen Sie daraus eine Liste. Koppeln Sie ihre Pflege an den Moment, in dem Sie ohnehin neue Automatisierungen bauen. Dann ist das nächste Auskunftsersuchen kein ruinierter Nachmittag mehr, sondern ein Vorgang, den Sie ruhig und fristgerecht abarbeiten. Und Sie schlafen zwischen den Anfragen besser, weil Sie wissen, wo Ihre Daten liegen.