Wie wir bereits in zahlreichen Blogbeiträgen dargelegt haben – exemplarisch sei hier auf diesen Beitrag verwiesen –, stellt die Bearbeitung von Auskunftsersuchen in der unternehmerischen Praxis nach wie vor eine erhebliche Herausforderung dar. Insbesondere dann, wenn es sich bei den Personen, die den Antrag stellen, um ehemalige oder aktuelle Mitarbeitende handelt, ist die praktische Umsetzung mit nicht unerheblichem Aufwand verbunden.

Unternehmen bzw. Arbeitgeber sehen sich im Rahmen solcher Auskunftsersuchen häufig gezwungen, große Mengen an personenbezogenen Daten zu sichten, zu strukturieren und bereitzustellen. Dies gilt umso mehr, wenn zusätzlich zur reinen Auskunft auch eine Kopie der personenbezogenen Daten im Sinne von Art. 15 Abs. 3 DSGVO gefordert wird. Die Zusammenstellung und Übermittlung dieser Datenkopie kann einen erheblichen organisatorischen und technischen Aufwand mit sich bringen – insbesondere in komplex strukturierten Unternehmen oder Konzernen.

Angesichts dieser Belastungen greifen Verantwortliche nicht selten auf die Möglichkeit der Fristverlängerung zurück, wie sie in Art. 12 Abs. 3 S. 2 DSGVO vorgesehen ist – zur allgemeinen Fristberechnung bei Betroffenenanfragen empfehlen wir Ihnen diesen Beitrag. Die DSGVO gewährt dem Verantwortlichen grundsätzlich eine Frist von einem Monat zur Beantwortung des Auskunftsersuchens. In bestimmten Fällen kann diese Frist jedoch verlängert werden:

„Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung.“ (Art. 12 Abs. 3 S. 2 u. 3 DSGVO)

Doch in welchen Fällen kann tatsächlich von einer „erforderlichen“ Fristverlängerung ausgegangen werden? Und wie detailliert müssen die Gründe für eine solche Verzögerung dargelegt werden? Die Aufsichtsbehörden gehen davon aus, dass dies nur in Ausnahmefällen möglich ist. So kann die Frist laut dem Landesbeauftragten für den Datenschutz (LfD) Niedersachsen:

„[…] um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, Art. 12 Abs. 3 S. 2 f. DS-GVO.“ (LfD Niedersachsen, Recht auf Auskunft – Art. 15 DS-GVO, S. 4 f.)

So sieht es auch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA):

„In Ausnahmefällen: Soweit aufgrund der Komplexität und der Anzahl von Anträgen eine Fristverlängerung um maximal zwei Monate erforderlich ist, teilt der Verantwortliche dies der betroffenen Person innerhalb eines Monats nach Eingang des Antrages mit und stellt ihr die Gründe für die Verzögerung da (Art. 12 Abs. 3 Satz 2 DS-GVO). Die Komplexität muss anhand objektiver Kriterien dargelegt werden können.“ (BayLDA, Infoblatt für Verantwortliche zum Recht auf Auskunft, S. 2)

Davon ausgehend ist anzunehmen, dass es rechtssicher ist, stets eine Einzelfallprüfung vorzunehmen, um die konkreten Umstände zu berücksichtigen.

Komplexität: Wann liegt ein hinreichend komplexer Fall vor?

Ein Blick in die juristische Fachliteratur und die Veröffentlichungen verschiedener Datenschutzaufsichtsbehörden zeigt: Eine klare, verbindliche Definition des Begriffs „Komplexität“ im Kontext von Auskunftsersuchen existiert nicht. Vielmehr handelt es sich um einen auslegungsbedürftigen Begriff, der einer sorgfältigen Bewertung im Einzelfall bedarf.

So stellt sich bspw. die Frage, ob allein die Tatsache, dass es sich bei der antragstellenden Person um eine*n Mitarbeitender*in handelt – möglicherweise sogar aus einem international tätigen Konzern oder einer Unternehmensgruppe – bereits als hinreichender Grund für eine Komplexitätseinschätzung genügt. In der Tat können konzerninterne Strukturen, dezentrale Datenhaltung und eine Vielzahl an internen Systemen dazu führen, dass die Datensuche erschwert und zeitintensiv wird. Allerdings dürfte es mit Beanstandungsrisiken versehen sein, pauschal für alle Auskunftsersuchen von Mitarbeitenden eine Fristverlängerung zu rechtfertigen.

Wichtig ist: Aufsichtsbehörden sehen eine Verlängerung der Auskunftsfrist nur als Ausnahmefall vor. Das bedeutet, dass die Hürden für eine Fristverlängerung hoch anzusetzen sind. In der Praxis empfiehlt es sich daher, in jedem Einzelfall genau zu prüfen, ob die Komplexität des jeweiligen Sachverhalts tatsächlich eine Verlängerung erforderlich macht – oder ob die Auskunft nicht doch innerhalb der einmonatigen Regelfrist erteilt werden kann.

Begründungspflicht: Wie konkret müssen die Verzögerungsgründe benannt werden?

Sollte sich der Verantwortliche im Einzelfall dazu entscheiden, von der in Art. 12 Abs. 3 Satz 2 DSGVO vorgesehenen Fristverlängerung Gebrauch zu machen, besteht die Verpflichtung, die betroffene Person rechtzeitig – d. h. innerhalb der ursprünglichen Monatsfrist – über die Verlängerung zu informieren. Diese Mitteilung darf nicht pauschal oder allgemein gehalten sein, sondern muss eine konkrete und nachvollziehbare Begründung enthalten.

Die DSGVO verlangt hierbei, dass die Verzögerungsgründe transparent dargelegt werden. Das bedeutet in der Praxis: Es muss aufgezeigt werden, warum der konkrete Fall besonders komplex ist oder warum die Bearbeitung angesichts einer Vielzahl gleichzeitiger Anfragen nicht in der vorgesehenen Zeit erfolgen kann. Die genannten Gründe sollten dabei objektiv nachvollziehbar und möglichst belegbar sein – etwa durch die Angabe der Anzahl paralleler Auskunftsersuchen oder die Beschreibung struktureller Herausforderungen im Unternehmen. Auch die langjährige Zugehörigkeit im Unternehmen könnte ein relevanter Faktor sein.

Die Begründung ggü. den Betroffenen sollte sich stets auf den konkreten Sachverhalt beziehen und nicht schematisch oder standardisiert formuliert werden.

Fazit: Sorgfältige Prüfung und individuelle Begründung erforderlich

Die Möglichkeit, die Bearbeitungsfrist für Auskunftsersuchen um bis zu zwei Monate zu verlängern, ist ein wichtiges Instrument für Verantwortliche, insbesondere in Fällen mit hohem Datenvolumen oder komplexer Unternehmensstruktur. Gleichwohl dürfen diese Spielräume nicht beliebig ausgedehnt oder als bequeme Lösung für interne Verzögerungen genutzt werden.

Stattdessen ist eine sorgfältige Prüfung jedes Einzelfalls geboten. Eine Fristverlängerung sollte stets auf fundierten, objektiv nachvollziehbaren Gründen beruhen und entsprechend dokumentiert sowie gegenüber der betroffenen Person transparent kommuniziert werden. Nur so lässt sich sicherstellen, dass die Anforderungen der DSGVO eingehalten und mögliche Beanstandungen durch Aufsichtsbehörden vermieden werden.

Die Praxis zeigt: Wer gut dokumentiert, differenziert begründet und frühzeitig kommuniziert, ist auf der sicheren Seite!

Was eine verspätete und unvollständig erteilte Auskunft für Folgen haben kann, lesen Sie in unseren Blogbeiträgen hier und hier.

| | , | , , , , , , , , , | 1 Kommentar