Auskunftsantrag mit Daten Dritter: Schwärzen statt pauschal verweigern

Ein Auskunftsantrag darf nicht allein deshalb vollständig abgelehnt werden, weil die gesuchten Unterlagen auch Informationen über andere Personen enthalten. Art. 15 Abs. 4 DSGVO verlangt, die Rechte und Freiheiten dieser Personen zu berücksichtigen. In der Praxis führt das häufig zu einer getrennten Prüfung, zu Schwärzungen oder zu einer teilweise aufbereiteten Datenkopie.

Dieser Beitrag richtet sich an Unternehmen, die ein Auskunftsbegehren mit E-Mails, Gesprächsnotizen, Nachrichten oder sonstigen Angaben über Dritte bearbeiten. Im Mittelpunkt stehen die Identitätsprüfung, die Abgrenzung des Datenbestands, der Schutz fremder Informationen, die Monatsfrist und die verständliche Antwort. Die allgemeine Einordnung eines Auskunftsbegehrens nach Art. 15 DSGVO bleibt davon zu unterscheiden.

Art. 15 Abs. 1 DSGVO knüpft an personenbezogene Daten an, die die anfragende Person betreffen. Der Antrag kann deshalb in einer E-Mail, einem Gesprächsvermerk oder einer Projektakte mit Angaben über mehrere Personen enthalten sein. Zuerst ist herauszuarbeiten, welche Informationen sich auf die antragstellende Person beziehen und welche weiteren Auskunftsinformationen nach Art. 15 verlangt werden.

Der Datenbestand sollte nach Verarbeitungsvorgängen, Systemen und Zeiträumen geordnet werden. Bei E-Mails oder Chatverläufen ist die gesamte Nachricht nicht automatisch mit einer vollständigen Aktenkopie gleichzusetzen. Relevant bleiben die personenbezogenen Informationen und die gesetzlich vorgesehenen Angaben zu Zwecken, Datenkategorien, Empfängern, Speicherdauer, Herkunft und weiteren Betroffenenrechten.

Ein Antrag kann zugleich Berichtigung, Löschung oder eine andere Auskunft über Unterlagen ansprechen. Diese Anliegen sollten getrennt erfasst werden. Die Grundlagen zur Auskunft nach Art. 15 DSGVO erklären den allgemeinen Ablauf. Der vorliegende Beitrag konzentriert sich auf die zusätzliche Prüfung, wenn fremde Informationen in den Suchtreffern stehen.

Art. 12 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Ausübung der Betroffenenrechte zu erleichtern. Art. 12 Abs. 6 erlaubt zusätzliche Informationen, wenn begründete Zweifel an der Identität der natürlichen Person bestehen. Die Rückfrage muss deshalb an einem konkreten Zuordnungsrisiko ansetzen und auf die dafür erforderlichen Angaben begrenzt bleiben.

Prüfen Sie zunächst die bereits vorhandenen Anknüpfungspunkte, etwa ein verifiziertes Kundenkonto, bekannte Kontaktdaten oder eine frühere Kommunikation. Je sensibler der Datenbestand und je größer das Risiko einer Herausgabe an eine falsche Person, desto sorgfältiger muss die Zuordnung ausfallen. Eine zusätzliche Ausweiskopie darf nicht zur pauschalen Standardantwort werden, wenn eine mildere Zuordnung ausreicht.

Der Eingang des Begehrens gehört unabhängig von der späteren Suchdauer in die Bearbeitungsakte. Halten Sie Antrag, Rückfrage, eingelangte Zusatzinformation und die Entscheidung über die Identität mit Zeitangaben fest. So bleibt erkennbar, welche Prüfung vor der Datenbereitstellung stattgefunden hat und wie die Monatsfrist organisatorisch behandelt wurde.

Art. 15 Abs. 4 DSGVO begrenzt das Recht auf Erhalt einer Kopie dort, wo Rechte und Freiheiten anderer Personen beeinträchtigt würden. Die Vorschrift beantwortet damit eine konkrete Abwägungsfrage. Sie erlaubt keine pauschale Gleichsetzung von „Daten Dritter“ mit einer vollständigen Sperre des Antrags.

Erfassen Sie in jedem Treffer, welche Information die antragstellende Person betrifft, welche Angabe eine andere Person beschreibt und welche Schutzinteressen berührt sein können. Das betrifft etwa Kontaktdaten, private Umstände, persönliche Einschätzungen oder Aussagen in einer Kommunikation. Die Antwort muss den konkreten Inhalt und die konkrete Gefährdung berücksichtigen.

Der Prüfvermerk sollte erkennen lassen, warum eine Information offengelegt, getrennt dargestellt oder zurückgehalten wird. Eine bloße Markierung „Drittdaten“ erklärt die Entscheidung noch nicht. Ebenso wenig reicht der Hinweis, dass ein Dokument von mehreren Personen stammt. Maßgeblich ist die betroffene Information und ihre Wirkung auf die Rechte der jeweils anderen Person.

Eine Schwärzung kann ein geeignetes Mittel sein, um die Datenkopie bereitzustellen und zugleich geschützte Drittinformationen zurückzuhalten. Sie ist anhand des Dokuments und der konkreten Textstelle vorzunehmen. Eine unleserliche Komplettschwärzung kann den Anspruch ebenso verkürzen wie ein unkontrollierter Vollversand.

Prüfen Sie, ob Namen, Kontaktdaten oder einzelne Aussagen getrennt werden können, ohne den Bezug der eigenen personenbezogenen Daten zu verlieren. Bei strukturierten Datensätzen können Felder unterschiedlich behandelt werden. Bei längeren Nachrichten kann es erforderlich sein, die eigene Information zu erläutern und fremde Passagen zu schützen.

Die Antwort sollte eine teilweise Bereitstellung verständlich beschreiben. Benennen Sie die bereitgestellte Datenkopie, erklären Sie verbleibende Einschränkungen in sachlicher Form und halten Sie die interne Begründung vollständig fest. So bleibt die Antwort nachvollziehbar, ohne den geschützten Inhalt durch die Begründung erneut offenzulegen.

Art. 12 Abs. 3 DSGVO verlangt eine Reaktion unverzüglich und jedenfalls innerhalb eines Monats nach Eingang des Antrags. Bei Komplexität oder einer großen Anzahl von Anträgen kann die Frist um bis zu zwei weitere Monate verlängert werden. Über die Verlängerung und die Gründe dafür muss innerhalb des ersten Monats informiert werden.

Daten Dritter können den Such- und Prüfaufwand erhöhen, weil einzelne Dokumente und Kommunikationsverläufe gesondert bewertet werden müssen. Das allein ersetzt keine Begründung. Dokumentieren Sie, welche Datenquellen betroffen sind, welche Schutzprüfung erforderlich ist und weshalb die Bearbeitung dadurch komplex wird.

Wenn der Verantwortliche nicht tätig wird, verlangt Art. 12 Abs. 4 DSGVO eine Mitteilung ohne Verzögerung, spätestens innerhalb eines Monats, mit den Gründen und den Hinweisen auf Beschwerde bei einer Aufsichtsbehörde und gerichtlichen Rechtsbehelf. Eine teilweise Bereitstellung sollte daher von einer klaren Erklärung begleitet werden, soweit Inhalte eingeschränkt bleiben.

Art. 15 Abs. 3 DSGVO verpflichtet zur Bereitstellung einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Bei einem elektronischen Antrag sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern die betroffene Person nichts anderes angibt. Der reine Export einer Datenbank genügt nicht automatisch einer verständlichen Antwort.

Ordnen Sie die Datenkopie nach Datenquelle oder Verarbeitungsvorgang und erläutern Sie die Zuordnung kurz. Ergänzen Sie die Angaben nach Art. 15 Abs. 1, soweit sie im konkreten Fall einschlägig sind. Kontrollieren Sie besonders, ob Schwärzungen tatsächlich nicht rückgängig gemacht werden können und ob Dateieigenschaften oder Kommentare weitere Drittinformationen enthalten.

Vor dem Versand sind Empfänger, sichere Übermittlung, Anlagen und Lesbarkeit zu kontrollieren. Die erste Kopie wird grundsätzlich unentgeltlich bereitgestellt. Bei weiteren Kopien und offenkundig unbegründeten oder exzessiven Anträgen gelten die besonderen Regeln des Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO. Diese Fragen sind von der Schutzprüfung für Daten Dritter getrennt zu entscheiden.

Beginnen Sie mit einer Kopie des Antrags und einer Eingangsnotiz. Erfassen Sie betroffene Person, Kommunikationsweg, vorhandene Zuordnung, gewünschte Daten und allfällige weitere Begehren. Legen Sie danach Suchquellen, Zeitraum und zuständige Stellen fest.

Markieren Sie Treffer mit Informationen über andere Personen und prüfen Sie die Inhalte einzeln. Halten Sie Offenlegung, Trennung, Schwärzung oder verbleibende Einschränkung mit einer kurzen Begründung fest. Die Bearbeitungsakte soll auch zeigen, welche Drittinformationen durch die Aufbereitung geschützt werden.

Zum Abschluss gehören Fristberechnung, Verlängerungsmitteilung, Datenkopie, Zusatzinformationen, Versandkontrolle und die Antwort auf Einschränkungen in einen gemeinsamen Nachweis. Bei komplexen Nachrichtenbeständen hilft eine rechtliche Prüfung, damit der Schutz Dritter den eigenen Auskunftsanspruch weder unbegründet verkürzt noch unzulässig erweitert.

Wir prüfen Antrag, Identitätszuordnung, Suchbestand, fremde Informationen, Schwärzungen, Frist, Datenkopie und Antwort anhand des tatsächlichen Ablaufs. Für eine erste Einschätzung helfen der Antrag, die betroffenen Systeme, Beispieltreffer, die geplante Aufbereitung und die bisherige Kommunikation. So lässt sich der Auskunftsanspruch vollständig bearbeiten und der Schutz anderer Personen nachvollziehbar umsetzen.