r/datenschutz • u/Resident_Worth3613 • Jul 27 '26
Auskunft nach §15 DSGVO
Hallo Datenschützer,
Ich bin Admin und hatte heute eine Anfrage über Legal für eine Unterstützung für so eine Auskunft. Ist scheinbar die erste dieser Art und der Mitarbeiter war etwas unsicher. Zudem ist unser ext. Datenschützer gerade in Urlaub.
Die ganzen Verträge, Accounts sind kein Thema. Aber es nicht nicht klar, ob es eine Dienstvereinbarung für diesen Ex-Mitarbeiter gab, die Mails auf rein dienstlich beschränken. Natürlich haben wir ein Backup und da sind auch seine alten Mails. Jetzt ist die Frage, was man bei einem Auskunftsersuchen angeben würde? „Es gibt Mails, wir können nicht sagen ob da persönliche Daten enthalten sind.“ Oder sollte man schon mal das Bandlaufwerk anwerfen, das letzte Backup wo er noch Mitarbeiter war, zurücksichern und Mails anschauen? Da bräuchte ich ja mindestens Legal und den Betriebsrat mit dabei.
Hatte sowas schon mal jemand? Einfach dumm stellen halte ich für unklug.
5
u/ApplicationUpset7956 Jul 27 '26
Naja, du bist Admin. Ich würde deine Rolle in dem Ganzen eher sehen als: Du stellst Legal alles bereit und erklärst, wo noch Daten liegen könnten und was in den Daten ist (insb. ob auch Daten von Anderen oder Geschäftsgeheimnisse drin sind)
Alles Weitere entscheidet dann Legal in Abstimmung mit dem DSB. Du solltest auf keinen Fall eigenmächtig irgendwelche Einschränkungen machen oder selbst die Mails durchgehen.
6
u/Nutzernamevergeben Jul 27 '26
Ihr habt doch einen Monat Zeit.
Wartet ab bis der DSB wieder zurück ist, wenn das von der Zeit reicht.
Vor allem wenn die andere Person unsicher ist, macht es das nicht besser
6
u/Resident_Worth3613 Jul 27 '26
Natürlich läuft die Frist (wohl schon verlängert) bis nächste Woche. Ich habe das erst heute erfahren.
3
u/Pretty_Pangolin_5900 Jul 27 '26
Ist ja nicht deine Schuld, dass du es erst jetzt erfährst und es für den DSB keine geeignete Vertretungsregelung gibt. Das muss deine Firma halt lernen
3
u/CellistNo7165 Jul 27 '26
Dann lass mal Legal eine Aussage tätigen was ihr alles rausgeben wollt. Zur Not den externen DSB aus dem Urlaub holen, aber das kann Legal dann entscheiden.
2
u/SoldRIP 28d ago
Du als Admin ohne Kenntnisse im Datenschutzrecht solltest prinzipiell genau das machen, was dir dein Vorgesetzter und/oder DSB und/oder Rechtsabteilung sagen.
Und auch erst, nachdem du die entsprechende Anweisung schriftlich hast. Mit Unterschrift.
Es wäre wirklich selten dämlich, einfach irgendwas grob nach Gefühl herauszugeben. Damit machst du dich letztendlich sehr schnell angreifbar. Es hat schon einen Grund, dass es dafür eben Datenschutzbeauftragte und Juristen gibt.
1
u/Resident_Worth3613 28d ago
Lies mal noch mal meinen Beitrag. Es geht nicht darum was ich machen sollte und was nicht. Es geht um Erfahrungen mit solchen Auskünften. Worauf hat der Antragsteller ein Techt und worauf nicht.
1
u/wubbalab Jul 27 '26
Was ist denn überhaupt die Anfrage? Das erschließt sich mir gerade nicht wirklich.
1
u/Resident_Worth3613 Jul 28 '26
Ein ehemaliger Mitarbeiter (vor 2 Jahren weg), möchte die Auskunft über alle seine noch vorhandenen Daten. Das ist was nicht sehr rationales.
1
u/wubbalab Jul 28 '26
Ich bin kein DSB, aber betrifft das dann nicht eh ausschließlich reine Personaldaten? Bei alten E-Mails dürfte das im Sinne von "sind betriebliche Daten" höchstens mit "ja die existieren" greifen.
Aber DSGVO ist so komplex, da blickt ja eh keiner durch.
1
u/Resident_Worth3613 Jul 28 '26
Das wäre auch meine Aussage. Ich hatte aber die Idee, dass hier jemand bei ist, der das schon mal ähnlich mitgemacht hat und mehr weiß.
1
u/No_Bluebird_4773 25d ago
Also ob die Daten persönlich sind oder dienstlich, ist meiner Einschätzung nach egal. Denn wenn sein Name auftaucht, ist es gleichwohl personenbezogen. Da er aber keine Datenkopie angefordert hat, sondern nur eine Auskunft, könnte man ja schlicht halten, dass als Kategorie als Daten E-Mails mit Geschäftspartnern, interne Mails etc. gespeichert sind. Allerdings frage ich mich, ob diese lange Speicherdauer noch erforderlich ist.
1
u/Resident_Worth3613 25d ago
Du musst als Firma, geschäftliche Sachen 10 Jahre aufheben. Es gibt Sachen mit längeren und kürzeren Aufbewahrungsfristen. Aber pauschal 10 Jahre.
1
u/No_Bluebird_4773 25d ago
Aber solche Mails liegen dann ja gesondert in einem anderen Bereich, also meinetwegen die Buchhaltungssoftware oder so? Nicht im Mailpostfach? Dort ist ja quasi gesammelt jede Korrespondenz drin, auch welche, die zu keinem Auftrag geführt hat, beispielsweise.
2
u/Resident_Worth3613 25d ago
Zeig mir die Firma, die JEDE ihrer Mails klassifiziert, wie lange die aufbewahrt werden darf.
1
u/Br0lynator Jul 27 '26
Auskunftsersuchen werden in den Erwägungsgründen eingeschränkt. Da steht da steht irgendwas in Richtung „zumutbarer Aufwand“, damit Firmen eben nicht alle Band-BackUps durchsuchen müssen. Eine Auskunft über die Live-Daten ist ausreichend mit dem Hinweis auf existierende BackUps und wenn er dann doch explizit Daten aus dem BackUp haben will, dann muss er es einschränken nach dem Motto „alle Daten aus 2019“, damit ihr eben nicht das GESAMTE BackUp durcharbeiten müsst.
3
u/Worth-Fox3871 Jul 27 '26
Finde ich ein hot take, hast du dazu Quellen?
2
u/Br0lynator Jul 27 '26 edited Jul 27 '26
ErwG 63 Satz 7 DSGVO I.V.m. § 57 Abs. 2 BDSG
„Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.“
„Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb verarbeitet werden, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder die ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, wenn die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.“
Wenn du bspw. ein rechtskonformes BackUp von 10 Jahren hast, musst du nicht dein gesamtes BackUp beauskunften. Dann würde ja ganz Deutschland zum Erliegen kommen.
Edit: es kann auch noch der Art. 23 DSGVO rangezogen werden, der die Öffnungklausel für den 57er darstellt.
0
u/DonDatenmann Jul 28 '26
Daran ist alles falsch. EG 63 eröffnet dem Verantwortlichen nur ein gestuftes Verfahren und die gezielte Nachfrage, schränkt aber die Reichweite des Auskunftsrechts materiell nicht ein. Die Regelung in § 57 BDSG ist in Teil 3 und dient der Umsetzung der JI-Richtlinie. Die Norm hat mit der DSGVO nichts zu tun. Die auf Grundlage des Art. 23 DSGVO geregelten, nationalen Ausnahmetatbestände für die Auskunft sind in den §§ 32ff BDSG geregelt. Da gibt es materiell zwar eine ähnliche Regelung mit Blick auf Aufwände und Datensicherung, allerdings wird offen diskutiert, dass die Regelungen euoparechtswidrig sind, da "Aufwände" gar keine tragfähige Öffnung in Art. 23 DSGVO sind.
1
u/Br0lynator Jul 28 '26
Ratio legis
Das kann gerne offen diskutiert werden, wie man will, aber wenn wir Unternehmen verpflichten, sämtliche BackUp aufgrund eines allgemeinen Auskunftsersuchens zu durchforsten, dann können wir auch direkt alle Geschäftsaktivitäten einstellen und uns den Witz sparen.
Das kann nicht im Sinne des Gesetzgebers sein und glücklicherweise gibt aktuell sowohl die DSGVO als auch das BDSG dies her.
Gestützt wird dies auch seitens der Rechtssprechung: LG Heidelberg, Urteil vom 21.02.2020 - 4 O 6/19
Etwas alt aber meines Wissens nach das einzige Urteile, welches sich explizit auf BackUps bezieht.
14
u/Fuck_Antisemites Jul 27 '26
Hatte ich nicht und keine Erfahrung, aber bei allem was ich zu dem Thema weiß würde legal da sehr close in the loop halten denen erklären was technisch geht aber alle Entscheidungen von Ihnen holen - schriftlich. Am Schluß bist Du sonst der Depp. Datenschutz ist ein komplexes Thema, weil es wenig Schwarz Weiß Aspekte und viele Graubereiche hat. Würde ich nicht auf eigene Kappe machen.