Auskunftsanfragen zu personenbezogenen Daten: Bereitet Ihr Portal eine Antwort vor oder exportiert es nur einen Kundensatz?

Wer eine Kopie seiner personenbezogenen Daten verlangt, braucht einen geprüften Antwortprozess. Ein Download des Kundenprofils allein genügt nicht als Nachweis, dass die Anfrage bearbeitet wurde. Klären Sie vor der Entwicklung, wie Anfragen zur zuständigen Stelle gelangen, wie Suchschritte dokumentiert werden und wer die tatsächlich herauszugebenden Informationen freigibt.

Als Quelle dient der im Juli 2026 aktualisierte Leitfaden der britischen Datenschutzaufsicht ICO zur Auskunft. Sein rechtlicher Rahmen ist die UK GDPR. Dieser Beitrag überträgt die britischen Regeln nicht auf Deutschland, Österreich oder andere Länder und ersetzt kein vollständiges Rechtsverfahren. Lassen Sie Anwendungsbereich, Fristen, Ausnahmen und Schreiben durch Ihre Datenschutzberatung prüfen. Die folgenden Softwareanforderungen sind Gestaltungsvorschläge, keine Konformitätsbescheinigung.

Anfragen dürfen auch außerhalb des Portals ankommen

Nach dem ICO-Leitfaden kann eine Person eine Auskunftsanfrage mündlich oder schriftlich stellen, auch über soziale Medien. Besondere Begriffe, ein Gesetzesverweis oder eine bestimmte Kontaktstelle sind nicht nötig, wenn erkennbar die eigenen personenbezogenen Informationen verlangt werden.

Ein freiwilliges Portal darf deshalb nicht der einzige Eingang sein, den Mitarbeitende beachten. Berechtigte Beschäftigte sollten eine anderweitig erhaltene Anfrage erfassen können, einschließlich ursprünglichem Wortlaut, Kanal und Eingangszeitpunkt. Das spätere Anlegen des Vorgangs darf diesen Zeitpunkt nicht ersetzen.

Bei einem fiktiven Reparaturbetrieb könnte ein Kunde am Telefon nach den über ihn gespeicherten personenbezogenen Informationen fragen. Die Erfassung sollte die Bearbeitung durch das zuständige Team auslösen. Sie sollte ihn nicht unbemerkt zu einem Onlineformular zurückschicken, bevor jemand Verantwortung übernimmt.

Person und Vertretung getrennt prüfen

Unterscheiden Sie die anfragende Person, die Person, auf die sich die Informationen beziehen, und eine mögliche Vertretung. Nach dem ICO muss vor der Antwort feststehen, dass eine Vertretung zum Handeln berechtigt ist. Die Aufsicht empfiehlt angemessene, verhältnismäßige Identitätsprüfungen und formelle Ausweisdokumente nur, wenn sie erforderlich sind.

Sinnvolle vorgeschlagene Zustände sind etwa „Identitätsprüfung offen“ und „Vertretungsbefugnis bestätigt“. Ein Reisepassupload sollte nicht pauschal für alle gelten. Ihre Beratung muss festlegen, welche Nachweise angemessen sind, wer sie sehen darf und wie damit umgegangen wird. Eine bekannte Mailadresse oder ein übereinstimmender Nachname darf nicht automatisch die Freigabe fremder Informationen auslösen.

Anfragen zu Kindern und besondere Arten von Unterlagen erfordern eigene Bewertungen. Dieser gewöhnliche betriebliche Ablauf ersetzt deren Regeln nicht.

Suche und Download sind verschiedene Arbeitsschritte

Der ICO verlangt eine angemessene und verhältnismäßige Suche. Der Export der zentralen Kundentabelle zeigt nicht, welche weiteren relevanten Systeme berücksichtigt wurden. Umgekehrt verlangt die Anleitung keine Suche, die im Verhältnis zur Bedeutung der Informationen unangemessen oder unverhältnismäßig ist.

Benennen Sie im Briefing mögliche Informationsorte und für jeden relevanten Suchauftrag eine verantwortliche Person. Dokumentieren Sie Suchumfang und Ergebnis sowie die Begründung, wenn ein Bereich nicht durchsucht wird. „Nichts Relevantes gefunden“ muss von „noch nicht gesucht“ unterscheidbar bleiben.

Gesammelte Arbeitsunterlagen gehören nicht automatisch in die Antwort. Sie können Angaben zu mehreren Personen oder Material enthalten, für das Ausnahmen zu prüfen sind. Der ICO beschreibt fallbezogene Ausnahmeentscheidungen und Einschränkungen bei Informationen über andere Menschen. Geben Sie deshalb weder alles Gefundene automatisch heraus noch sperren Sie ein ganzes Dokument allein wegen eines weiteren Namens. Dafür braucht es eine berechtigte Prüfung statt einer vereinfachenden Softwareautomatik.

Fristen nachvollziehbar statt pauschal herunterzählen

Der ICO erläutert einen grundsätzlich einmonatigen Antwortrahmen, Bedingungen rund um Identität und Vertretungsbefugnis, notwendige Verlängerungen und vernünftigerweise erforderliche Rückfragen zur Klärung. Das sind keine austauschbaren Pausengründe. Insbesondere darf eine Klärung nicht dazu dienen, jemanden zur Einschränkung seiner Anfrage zu zwingen.

Lassen Sie die Fristberechnung vor der Umsetzung freigeben. Bewahren Sie Eingang, relevante Nachweisanforderungen und Antworten sowie eine genehmigte Verlängerung samt nötiger Mitteilung nachvollziehbar auf. Ändert sich der Zieltermin, muss die Oberfläche das zugrunde liegende Ereignis erklären. Interne Neuzuweisung oder eine unerledigte Suche dürfen die Frist nicht stillschweigend neu starten.

Die tatsächliche Antwort freigeben

Das Recht betrifft eine Kopie personenbezogener Informationen und ergänzende Angaben. Kontolöschung oder ein betrieblicher CSV-Export sind andere Aufgaben. Nach dem ICO ist bei elektronischen Anfragen grundsätzlich ein gängiges elektronisches Format bereitzustellen, sofern die Person nichts anderes verlangt. Ein sicheres Onlineportal muss einen zugänglichen Download ermöglichen. Kann oder möchte die Person dieses Portal nicht nutzen, ist eine alternative Antwortmethode erforderlich.

Binden Sie die Freigabe an das konkrete Antwortpaket und die Begleiterklärung. Halten Sie Empfänger, Übermittlungsweg und tatsächliches Versandergebnis fest. Eine Portaleinladung allein sollte den Vorgang nicht abschließen. Sichere Übermittlung, Zugänglichkeit und eine gegebenenfalls nötige Ablehnungsmitteilung brauchen eigene Prüfungen.

Lassen Sie vor der Abnahme eine telefonisch eingegangene Anfrage, eine Vertretung, einen noch ungesuchten Bereich, einen geprüften Treffer mit mehreren Personen und einen alternativen Ausgabeweg vorführen. Nutzen Sie erfundene Daten. Bringen Sie diese Fälle in das Gespräch über Ihre Geschäfts-App mit. Beauftragt werden sollte ein nachvollziehbarer Antwortprozess, nicht ein Exportknopf mit einem unbelegten Datenschutzversprechen.