Kategorie: Betroffenen-Rechte

Gemäß Artikel 12 Absatz 3 der Datenschutz-Grundverordnung (DSGVO) ist der Verantwortliche verpflichtet, Anfragen von Betroffenen hinsichtlich ihrer Datenschutzrechte unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang der Anfrage zu beantworten.

Schadensersatz wegen verspäteter Auskunft nach 19 Kalendertagen

In einem Fall vor dem Arbeitsgericht Duisburg (5 Ca 877/23) wurde die Frage erörtert, ob eine Auskunft nach Ablauf von 19 Kalendertagen (9 Arbeitstage) zu spät erfolgt und daher einen Schadensersatz wegen verspäteter Auskunft begründen kann. In diesem Fall hatte ein ehemaliger Bewerber (Kläger) den Beklagten aufgefordert, eine Geldentschädigung in Höhe von 1.000 Euro wegen angeblichem Verstoß gegen Artikel 12 DSGVO zu zahlen.

Das Gericht entschied zugunsten des Bewerbers (Klägers) und sprach ihm eine Entschädigung in Höhe von 750 Euro zu. Die Auskunft erst nach 19 Tagen nach Eingang des Auskunftsersuchens verstieß nach Auffassung des Gerichts gegen das Gebot der Unverzüglichkeit. Das Gericht betonte, dass die gesetzlich vorgesehene Höchstfrist von einem Monat nach Antragseingang nicht routinemäßig, sondern nur in komplexeren Fällen überschritten werden dürfe. Der Verantwortliche müsse die speziellen Umstände für den erhöhten Bearbeitungsaufwand darlegen, insbesondere bei einfachen Suchanfragen für Negativauskünfte, bei denen keine Hinweise auf eine Bearbeitungsdauer von mehr als einer Woche ersichtlich sind. Darüber hinaus sei der Verantwortliche verpflichtet, die Organisationsstruktur so zu gestalten, dass eine zeitnahe Bearbeitung eingehender Anfragen möglich ist.

Das Gericht erkannte den immateriellen Schaden der betroffenen Person darin, dass ihm zumindest vorübergehend die Kontrolle über seine Daten entzogen wurde. Die verzögerte Antwort ließ den Betroffenen im Unklaren über seine personenbezogenen Daten, was ihm die Möglichkeit nahm zu überprüfen, wie der Verantwortliche seine Daten verarbeitet und ob dies im Einklang mit den Datenschutzbestimmungen steht.

Fazit

Die Begründung des Gerichts, dass die Beantwortung einfacherer Fälle ohne Vorliegen besonderer Umstände nach einer Woche nicht mehr fristgemäß erfolgt, kann nicht überzeugen. So ist in Art. 12 Abs. 3 S. 2 DSGVO gerade der Fall komplexerer Anfragen vorgesehen, bei denen eine Fristverlängerung um zwei Monate möglich ist.

Dennoch sollte die Höchstfrist von einem Monat nicht routinemäßig ausgeschöpft werden. Dies betrifft vor allem einfache Fälle und Negativauskünfte.

Eine Auskunft ist auch dann noch unverzüglich, wenn sie innerhalb einer nach den Umständen des Einzelfalls zu bemessenden Prüfungs- und Überlegungszeit vorgenommen wird. Das Gericht stellt hier selbst fest, dass „unverzüglich" weder „sofort" bedeutet noch damit eine starre Zeitvorgabe verbunden ist. Vielmehr komme es auf eine verständige Abwägung der beiderseitigen Interessen an. In der Praxis sollte daher die Notwendigkeit einer längeren Bearbeitungszeit immer nachgewiesen werden können.

Rechtsanwalt Robert Harzewski

Noch immer bereitet die Erteilung von Auskünften große Schwierigkeiten. In einer Vielzahl von Fällen versuchen Verantwortliche die personenbezogenen Daten zu löschen, anstatt eine Auskunft zu erteilen. Dies berichtet das Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) im aktuellen Tätigkeitsbericht für das Jahr 2021.

Keine Flucht vor der Auskunft

Wenig überraschend stellt die Behörde fest, dass eine Löschung statt Auskunft dem Sinn und Zweck des Auskunftsrechts widerspricht. Den Betroffenen wird jede Möglichkeit genommen, zu erfahren, welche personenbezogenen Daten verarbeitet werden.

Vorsicht bei Löschfristen

Problematisch können Fälle sein, in denen die vorgesehene Löschfrist der betreffenden Daten nach Eingang einer Auskunftsanfrage endet.

Beispiel:

12.01.2022 Eingang der Auskunftsanfrage vom Betroffenen

30.01.2022 Ende der vorgesehenen Löschfrist (der betreffenden Daten des Betroffenen)

02.02.2022 Auskunft, dass keine Daten mehr vorliegen

Verantwortliche könnten sich so bei der Auskunft auf den Standpunkt stellen, dass die Daten inzwischen gelöscht wurden.

Dies ist jedoch nicht zulässig. Für den Umfang des Auskunftsverlangens ist grundsätzlich der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich. Nur Daten, die in der Vergangenheit einmal verarbeitet wurden und über die der Verantwortliche nun nicht mehr verfügt, sind nicht Bestandteil der Auskunft. (Arbeitsgericht Düsseldorf, Urteil vom 05.03.2020, Aktenzeichen: 9 Ca 6557/18).

Auch nach Auffassung des Europäischen Datenschutzausschusses sind diejenigen Daten zu beauskunften, die im Zeitpunkt des Zugangs des Auskunftsbegehrens vorhanden sind (EDSA-Leitlinien 01/2022, Stand 18.01.2022, Rn. 37-39).

Das BayLDA rät daher dringend davon ab, bei Vorliegen von Auskunftsersuchen gem. Art. 15 DS-GVO Daten noch vor Auskunftserteilung zu löschen.

Umfang bei Fristversäumnis

In einigen Fällen kann sich die Verantwortung von Auskünften über mehrere Monate hinziehen. Auch hier stellt sich die Frage, welcher Stand dann konkret zu beauskunften ist. In dem noch nicht rechtskräftigen Urteil des Arbeitsgerichts Düsseldorf wird hierzu vertreten, dass im Fall einer Fristversäumnis nachfolgende Datenverarbeitungen einzubeziehen sind.

Empfehlung

Auskunftsbegehren oder sonstige Anfragen müssen als solche erkannt und an die zuständigen Mitarbeiter bzw. das Datenschutzteam weitergeleitet werden. Sämtliche Beschäftigte müssen fortlaufend sensibilisiert werden, dass mit Eingang der Anfrage auch die Frist aus Art. 12 Abs. 3 DSGVO zu laufen beginnt. Daneben kann der Eingang einer Auskunft auch Auswirkungen auf die Aufbewahrungsfristen haben. Es empfiehlt sich daher, eingehende Anfragen von Betroffenen bei den Löschprozessen und im Löschkonzept zu berücksichtigen.

Rechtsanwalt Robert Harzewski

Nach Art. 15 DSGVO hat jede Person das Recht, von einem Verantwortlichen eine Bestätigung zu verlangen, ob eigene personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie unter anderem ein Recht auf Auskunft über diese personenbezogenen Daten.

Welche personenbezogenen Daten grundsätzlich von der Auskunft erfasst sind, ergibt sich direkt aus Art. 4 Nr. 1 DSGVO. In bestimmten Fällen ist der Gegenstand einer Auskunft aber noch umstritten. Dieser Beitrag soll daher einen Überblick zu der bisherigen Rechtsprechung ermöglichen.

Informationen zu den allgemeinen Anforderungen einer ordnungsgemäßen Auskunft finden Sie in meinem Artikel: Auskunft nach Art. 15 DSGVO

Personenbezogene Daten einer Auskunft

Der Begriff des personenbezogenen Datums ist in Art. 4 Nr. 1 DSGVO definiert. Personenbezogene Daten sind demnach alle Informationen, die sich auf eine identifizierte (bestimmte) oder identifizierbare (bestimmbare) natürliche Person beziehen.

Unproblematisch betrifft dies persönlichen Informationen wie Name, Anschrift und Geburtsdatum sowie äußere Merkmale (Augenfarbe, Größe und Gewicht und innere Zuständen (Wünsche, Meinungen, Überzeugungen). Aber auch Standortdaten, Online-Kennungen, Telefonnummern und sonstige Kennungen (IP-Adresse, Kontonummer, Ausweisnummer, Rentenversicherungsnummer, etc.) sind personenbezogene Daten einer Auskunft, da sich anhand dieser Informationen eine natürliche Person bestimmen lässt.

Bisherige Rechtsprechung

Der Inhalt einer Auskunft, bzw. die Frage, welche personenbezogenen Daten von dieser umfasst sind, wird gerade durch zahlreiche Urteile präzisiert.

Gegenstand einer Auskunft

Ärztliche Unterlagen
Ärztliche Unterlagen, Gutachten oder sonstige vergleichbare Mitteilungen anderer Quellen sind personenbezogene Daten und daher Inhalt einer Auskunft.

Entscheidung: Landgericht Köln, Teilurteil vom 18.03.2019, Aktenzeichen: 26 O 25/18

Behandlungsdokumentationen
Neben § 630g BGB steht dem Patienten auch ein Anspruch auf Auskunft über die bei einem Krankenhaus gespeicherten personenbezogenen Daten zu. Die Regelung des § 630 g BGB hat nicht Vorrang vor den Bestimmungen des Art. 15 Abs. 3 DSGVO. Die Übermittlung der vollständigen Behandlungsdokumentationen im PDF-Format für den Behandlungszeitraum muss daher unentgeltlich erfolgen.

Entscheidung: LG Dresden, Urteil vom 29.5.2020, Aktenzeichen: 6 O 76/20

Gesprächsvermerke und Telefonnotizen
Zur Auskunft gehören insbesondere auch elektronisch gespeicherte Vermerke zu mit dem Kunden geführten Telefonaten und sonstigen Gesprächen.

Entscheidungen: OLG Köln (20. Zivilsenat), Urteil vom 26.07.2019, Aktenzeichen:  20 U 75/18; LG Köln (23. Zivilkammer), Urteil vom 11.11.2020, Aktenzeichen: 23 O 172/19

Kontobewegungen auf dem Konto der Bank
Entscheidung: AG Bonn, Urteil vom 30.7.2020, Aktenzeichen: 118 C 315/19

Nicht Gegenstand einer Auskunft

Nicht Gegenstand bzw. personenbezogene Daten einer Auskunft sind demnach:

Erklärungen des Betroffenen
Erklärungen des Betroffenen, wie ein Antrag auf Abschluss der Versicherung oder ein Kündigungsschreiben sind an sich ist keine personenbezogenen Daten. Diese enthalten vielmehr personenbezogene Daten, die sich allerdings in den Stammdaten erschöpfen. Damit können Kopien konkreter Anträge, Willenserklärungen, Kündigungen, Widerrufe und Versicherungsunterlagen nicht verlangt werden. Lediglich die darin enthaltenen Daten und die Information über die Erklärung an sich, sind Bestandteil einer Auskunft.

Entscheidungen: Landgericht Ulm , Urt. v. 28. 8. 2020, , Aktenzeichen: 3 O 248/19; Landgericht Stuttgart, Urteil vom 04.11.2020, Aktenzeichen: 18 O 333/19

Interne Vorgänge, Vermerke
Auskunftsanspruch bezieht sich aber nicht auf sämtliche interne Vorgänge.

Entscheidungen: Landgericht Köln, Teilurteil vom 18.03.2019, Aktenzeichen: 26 O 25/18; AG Seligenstadt, Urteil vom 23.06.2020 , Aktenzeichen 1 C 7/19 (3)

Mitteilung über bereits gelöschte Daten
Eine Pflicht, Auskunft darüber zu erteilen, welche Daten in welchem Zusammenhang in der Vergangenheit bereits gelöscht wurden gibt es nicht.

Entscheidung: AG Seligenstadt, Urteil vom 23.06.2020 , Aktenzeichen 1 C 7/19 (3)

Rechtliche Bewertungen oder Analysen
Rechtliche Bewertungen oder Analysen stellen keine personenbezogenen Daten in diesem Sinne dar.

Entscheidung: Landgericht Köln, Teilurteil vom 18.03.2019, Aktenzeichen: 26 O 25/18

Schriftverkehr
Sämtlicher gewechselter Schriftverkehr, der dem Betroffenen bereits bekannt ist, muss nicht erneut ausgedruckt und übersendet werden und ist nicht von der Auskunft umfasst.

Entscheidungen: Landgericht Köln, Teilurteil vom 18.03.2019, Aktenzeichen: 26 O 25/18; LG Stuttgart, Urteil vom 04.11.2020, Aktenzeichen: 18 O 333/19

Rechtsanwalt Robert Harzewski

Das Auskunftsrecht ist das zentrale Betroffenenrecht. Eine vollständige Antwort gestaltet sich oft schwierig und ist manchmal recht komplex. Aufsichtsbehörden berichten daher von einer hohen Anzahl von Datenschutzbeschwerden. Häufige Fehler bei der Auskunft nach Art. 15 DSGVO sind:

	Auskunftsbegehren werden ignoriert, weil Zweifel an der Identität des Anfragenden bestehen.
	Die Antwort umfasst nur die Stammdaten und Kategorien von Empfängern.
	Der Antrag auf Auskunft nach Art. 15 DSGVO wird nicht weitergeleitet
	Auskünfte werde nicht rechtzeitig beantwortet.

Dieser Beitrag gibt einen Überblick über die bisherige Rechtsprechung und zu den Anforderungen einer ordnungsgemäßen Auskunft.

Recht auf Auskunft nach Art. 15 DSGVO

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob und welche sie betreffende personenbezogene Daten verarbeitet werden. Eine betroffene Person sollte [dieses] Auskunftsrecht [...] problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können (Erwägungsgrund 63 S. 1).

Aufgrund der zum Teil sehr aufwendigen Recherche, Bearbeitung, Organisation und der knapp bemessen Zeit hat der Verantwortliche vorab in einem entsprechende Prozess sicherzustellen, dass Anfragen unverzüglich dem zuständigen Mitarbeiter oder im Bedarfsfall dem Datenschutzbeauftragten vorgelegt werden. Neben dem Sicherstellen einer zügigen Bearbeitung der Anfragen sollten auch geeignete Vorlagen zur Auskunft  bereit gehalten werden. Neben einem möglichen Bußgeld können bei Versäumung der Frist auch Anwaltskosten entstehen.

Das OLG Köln (Beschluss vom 25. Juli 2019, Az.: 20 W 10/18) und das Amtsgericht München (Teilurteil vom 04. September 2019, Az: 155 C 1510/18) gehen davon aus, dass ein Streitwert i.H.v. 5.000,00 € für einen Auskunftsanspruch nach Art. 15 DSGVO angemessen ist. Dadurch würden sich die außergerichtlichen Anwaltskosten für jede versäumte Beantwortung einer Anfrage auf 492,54 Euro belaufen.

Phasen der Auskunft nach Art. 15 DSGVO

Der Prozess muss auch gewährleisten, dass vor Erteilung einer Auskunft in jedem Fall die Berechtigung des Auskunftsersuchens geprüft wird. Im Zweifel sollten zusätzliche Informationen nachgefordert werden, die die Identität der betroffenen Person bestätigen.

Prozess-Phasen:

Nummer	Phase	Anforderung
	Eingang des Auskunftsbegehrens	Weiterleitung an den zuständigen Mitarbeiter oder das Datenschutzteam
	Identitätsprüfung	Prüfung, ob sich Betroffener ausreichend identifiziert hat
	Bearbeitung	Zusammentragen aller Informationen
	Beantwortung	Die Antwort hat innerhalb eines Monats in einfacherer Sprache zu erfolgen.
	Abschluss des Verfahrens	Dokumentation und Festlegung der Speicherfrist

Phase 1 - Eingang des Auskunftsbegehrens

Eine häufiger Fehler ist, dass Anträge auf Auskunft nach Art. 15 DSGVO auf dem Weg im Unternehmen verloren gehen.

Sensibilisierung der Mitarbeiter

Ein Auskunftsbegehren kann den Verantwortlichen theoretisch auf jedem Kommunikationskanal und über jeden Mitarbeiter mit Außenkontakt erreichen. Mitarbeiter mit Kundenkontakt (persönlich, telefonisch, per E-Mail oder Telefax) sind daher so zu sensibilisieren, dass Sie das Auskunftsbegehren als solches erkennen und dieses an den zuständigen Mitarbeiter weiterleiten. Dies kann der Datenschutzmanager, aber auch ein sonstiges Mitglied des Datenschutzteams sein.

Fristbeginn der Auskunft nach Art. 15 DSGVO

Der Fristlauf von einem Monat beginnt dann, wenn das Auskunftsbegehren beim Verantwortlichen eingeht. Dabei genügt es, wenn ein Brief am Empfang oder einer extern beauftragten Rezeption abgegeben wird. Das Arbeitsgericht Düsseldorf geht davon aus, dass Post üblicherweise nicht einmal einen Tag liegen gelassen, sondern binnen weniger Stunden an den Empfänger weitergeben wird.

Phase 2 - Identitätsprüfung

Vor Erteilung der Auskunft ist auf eine eindeutige Identifizierung der betroffenen Person zu achten. Eine Auskunft an eine falsche Person ist eine klare Datenschutzverletzung und muss unter Umständen auch der Aufsichtsbehörde gemeldet werden. Im Interesse der Datenminimierung dürfen bei der Identitätsprüfung grundsätzlich nur Daten gefordert werden, die zur Identifizierung zwingend erforderlich sind.

Übersicht über mögliche Wege der Antragstellung

Die Auswahl der Identifizierungsmethode obliegt dem Verantwortlichen unter Berücksichtigung des Risikos für die Rechte und Freiheiten der betroffenen Personen und ist daher eine Einzelfallentscheidung. Je höher das Schutzniveau der Auskunftsdaten, desto sicherer sollte das Verfahren sein.

De-Mail / qualifizierte elektronische Signatur

De-Mail und eine qualifizierte elektronische Signatur können grundsätzlich zur sicheren Identifizierung von betroffenen Personen genutzt werden. Da die entsprechende Identität durch eine vertrauenswürdige Stelle geprüft wurde, können sich Verantwortliche auf die vorherige Prüfung verlassen.

Übermittlung einer geschwärzten Ausweiskopie

In Einzelfällen kann auch die Übermittlung einer geschwärzten Ausweiskopie zulässig sein. Dies sollte nur über einen sicheren Weg, z.B. mit einer Ende-zu-Ende-verschlüsselten E-Mail oder über eine HTTPS-geschützte Website passieren.

Zur Identifizierung sind dabei nur der Vor- und Nachname, die Anschrift und ggfs. auch die Gültigkeitsdauer zulässig. Die übrigen Daten sollten geschwärzt sein. Ausnahmsweise kann auch das Geburtsdatum sowie der Ort abgefragt werden, wenn sonst keine eindeutige Zuordnung möglich ist.

Bei reinen Negativauskünften soll auf die Anforderung von Ausweiskopien verzichtet werden (Tätigkeitsbericht des BayLDA 2013/2014, S. 77)

Vertretungsvollmacht

Wird der Auskunftsanspruch eines Betroffenen von seinem Anwalt geltend gemacht, dann sollte auch die Originalvollmacht angefordert werden. Das Amtsgericht Berlin-Mitte stellte dazu in seinem Urteil vom 29.07.2019 - Az.: 7 C 185/18 klar, dass die Erteilung einer Auskunft ohne Vorlage der Vollmacht gegen den Sinn und Zweck der DSGVO verstoßen würde. Dies betrifft aber nur Fälle, in denen die anwaltliche Vertretung in der Angelegenheit nicht schon bekannt ist, also begründete Zweifel an der Identität des Anfragenden bestehen.

Die Monatsfrist, innerhalb welcher die Auskunft zu erfolgen hat, beginnt erst ab dem Zeitpunkt, zu dem die Vollmacht tatsächlich vorgelegt wurde. Das Gericht stellte weiterhin fest, dass es vor diesem Hintergrund nicht statthaft ist, ein Unternehmen auf Auskunft zu verklagen, bevor die Monatsfrist abgelaufen ist.

Zweifel an der Identität

Nach Art. 12 Abs. 6 DSGVO kann der Verantwortliche bei begründeten Zweifeln an der Identität der Auskunft suchenden Person zusätzliche Informationen anfordern, die zur Bestätigung deren Identität erforderlich ist.

Keine Zweifel bestehen grundsätzlich, wenn der Antragsteller dem Verantwortlichen persönlich bekannt ist. Dies bedeutet aber nicht, dass automatisch jede Anfrage eines Unbekannten Zweifel auslöst. Die Verwendung unbekannter Kontaktdaten oder die Abweichung von der bisherigen Form der Korrespondenz können jedoch Zweifel begründen.

Das VG Berlin (Urteil vom 31.08.2020, Az.: 1 K 90.19) geht davon aus, dass ohne besonderen Anlass kein Identitätsnachweis von einem Antragsteller, wie die Kopie des Personalausweises, verlangt werden kann. Der Auskunft-Suchende begehrte hier eine Auskunft auf postalischem Wege. Dem Verantwortlichen (ein Amtsgericht) war die gegenwärtige Anschrift aufgrund der Übersendung verschiedener Entscheidungen bekannt. Dadurch fehle jeder Anhaltspunkt dafür, dass ein Dritter Interesse an der begehrten Auskunft haben könnte und deshalb unter Benutzung einer falschen Identität die Auskunft erschleichen könnte. Schließlich wies das Gericht auch darauf hin, dass eine Fehlleitung der Auskunft durch eine förmliche Zustellung des Auskunftsschreibens unterbunden werden kann.

Ist der Kommunikationskanal also bekannt, müssen besondere Gründe hinzutreten, um einen Identitätsnachweis vom Antragsteller zu verlangen.

Phase 3 - Bearbeitung

Der Umfang der zu erteilenden Informationen ergibt sich aus Art. 15 Abs. 1 DSGVO. Welche personenbezogenen Daten im Einzelfall konkret erfasst sein können, finden Sie in meinem Beitrag: Personenbezogene Daten einer Auskunft

Für den Umfang des Auskunftsverlangens ist grundsätzlich der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich. Daten, die in der Vergangenheit einmal verarbeitet wurden und über die der Verantwortliche nun nicht mehr verfügt, sind nicht Bestandteil der Auskunft. Wird die Frist von einem Monat gemäß Art. 12 Abs. 3 DSGVO versäumt, so sind nachfolgende Datenverarbeitungen aber einzubeziehen (Arbeitsgerichts Düsseldorf, Urteil vom 05.03.2020, Aktenzeichen: 9 Ca 6557/18).

Werden eine große Menge von Informationen über die betroffene Person verarbeitet, so sollte der Betroffene aufgefordert werden, sein Auskunftsersuchen noch weiter zu konkretisieren. Eine Präzisierung könnte bestimmte Verarbeitungszwecke,
Zeiträume oder Datenkategorien umfassen. Dieses gestufte Vorgehen wird ausdrücklich von Erwägungsgrund 63 S. 7 beschrieben.

Bei der Beantwortung einer Auskunft nach Art. 15 DSGVO sollte insbesondere auf die Einhaltung des Grundsatzes der Transparenz geachtet werden:

Phase 4 - Beantwortung

Die Übermittlung der Information kann schriftlich, elektronisch oder auch mündlich erfolgen. Stellt die betroffene Person ihren Auskunftsantrag elektronisch, ist die Auskunft in einem gängigen elektronischen Format zur Verfügung zu stellen. Dies soll in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache erfolgen.

Die Auskunft ist unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zu erteilen.

Das Bayerische Landesamt für Datenschutzaufsicht hat ein Muster veröffentlicht, wie eine Auskunft nach Art. 15 DSGVO zu erfolgen hat. Dieses kann hier (PDF) abgerufen werden.

Phase 5 - Abschluss des Verfahrens

Um den Nachweis der ordnungsgemäßen Beauskunftung erbringen zu können, sollte diese für etwaige Nachfragen seitens des Betroffenen oder der Aufsichtsbehörden dokumentiert werden. Dabei sollte auch geklärt werden, innerhalb welcher Frist die Anfrage des Betroffenen zu löschen ist.

Grundsätzlich sind die Daten solange aufzubewahren, bis eine etwaige Verletzung von Betroffenenrechten nach DSGVO, BDSG und OWiG nicht mehr möglich ist. Das wäre dann der Fall, wenn Verjährung eingetreten ist. Nach § 31 OWiG verjährt eine Ordnungswidrigkeit bei den mit der DSGVO vorgesehenen Geldbußen in drei Jahren. Die Verjährungsfrist beginnt dabei, sobald die Handlung, also die Auskunft des Betroffenen, beendet ist.

Rechtsanwalt Robert Harzewski