Frage: Ein Kunde hat sich beim Kundenservice per Brief gemeldet. Er machte mit dem Schreiben sein Recht auf Auskunft und Kopie geltend. Leider klappte intern die Weiterleitung nicht so richtig. Die Folge: Das Schreiben irrte intern herum. Die Erledigungsfrist aus Art. 12 Abs. 3 Datenschutz-Grundverordnung (DSGVO) war da schon um. Wir wollen schnell die Informationen bereitstellen, auch wenn wir schon über die Frist hinaus sind. Daneben fragen wir uns: Was müssen wir in Zusammenhang mit der verspäteten Auskunft tun? Droht uns etwa Ärger mit der Datenschutzaufsicht?
Antwort: Art 12 Abs. 3 DSGVO legt fest, dass unter anderem eine Auskunft nach Art. 15 DSGVO unverzüglich erfolgen muss. Die Bereitstellung der Informationen muss in jedem Fall innerhalb eines Monats nach Eingang des Antrags erfolgen. Nur bei komplexen Fällen oder vielen Anträgen kann eine Verlängerung der Frist um zwei weitere Monate erfolgen. Allerdings muss der Betroffene über die Fristverlängerung binnen eines Monats informiert werden. Das ist jedoch in Ihrem Fall nicht mehr möglich, da die Monatsfrist schon überschritten ist.
Auskunft schnell erteilen
Ihr Unternehmen sollte die Auskunft schnellstmöglich geben, um nicht noch mehr in Verzug zu geraten. Um einer eventuellen Verärgerung beim Betroffenen entgegenzuwirken, sollte Ihr Unternehmen sich für die Verzögerung entschuldigen. Erklären Sie, dass es aus organisatorischen Gründen etwas länger gedauert hat. Noch wirksamer kann es sein, wenn Ihr Unternehmen einen kleinen Gutschein für den Onlineshop beifügt. Denn das kann einen Kunden bzw. Betroffenen ggf. davon abhalten, sich bei der Datenschutzaufsichtsbehörde zu beschweren.
Die Sache kann Folgen haben
Allerdings muss das nicht unbedingt der Fall sein. So wäre es denkbar, dass die Aufsichtsbehörde nach einer Beschwerde aktiv wird. Möglich wäre in diesem Zusammenhang ein Bußgeld. Auch lässt sich nicht ausschließen, dass ein Betroffener Schadensersatz geltend macht. Hier können Sie nur zu einem raten: abwarten und Tee trinken. Unter Umständen ist die Sache dann für Ihr Unternehmen erledigt.
Folgeaktivitäten sind ein Muss
Zwar besteht an sich keine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO. Schließlich liegt nur ein Verstoß gegen die Anforderungen zu den Betroffenenrechten vor. Das stellt keine Verletzung der Sicherheit dar. Dennoch muss Ihr Unternehmen aktiv werden. So sollten unverzüglich die Prozesse überprüft werden und relevante Beschäftigte geschult bzw. eindringlich sensibilisiert werden. Schließlich sollte sich eine Verzögerung bei der Weiterleitung bzw. Bearbeitung einer Betroffenenanfrage nicht wiederholen.
