Nachweiserhaltung bei Auskunftsersuchen - Datenschutzrechtliche Anforderungen an Unternehmen

Unternehmen sind verpflichtet, betroffenen Personen auf Anfrage umfassende Auskunft über die zu ihrer Person verarbeiteten Daten zu geben. Doch was passiert nach erfolgter Auskunft? Viele Unternehmen sehen sich mit der Frage konfrontiert, ob und in welchem Umfang sie Nachweise über durchgeführte Auskunftsersuchen aufbewahren dürfen – sei es zur internen Dokumentation, zur Qualitätssicherung oder zur Abwehr möglicher Rechtsansprüche. Diese Praxis wirft komplexe datenschutzrechtliche Fragen auf, insbesondere im Spannungsfeld zwischen Nachweiserfordernis und den Grundsätzen der Datenminimierung und Speicherbegrenzung.

Die Verarbeitung personenbezogener Daten zur Erhaltung von Nachweisen, kann durch das berechtigte Interesse des Unternehmens gemäß Art. 6 Abs. 1 lit. f DSGVO legitimiert werden. Ein solches Interesse besteht etwa dann, wenn Unternehmen nachweisen müssen, dass sie ihrer Auskunftspflicht ordnungsgemäß nachgekommen sind. Dies kann im Falle von Beschwerden bei Aufsichtsbehörden oder in gerichtlichen Auseinandersetzungen von entscheidender Bedeutung sein.

Allerdings erfordert die Berufung auf ein berechtigtes Interesse stets eine sorgfältige Interessenabwägung: Das Interesse des Unternehmens an der Dokumentation muss die Rechte und Freiheiten der betroffenen Person überwiegen. Je sensibler die Daten, desto höher sind die Anforderungen an die Begründung des berechtigten Interesses.

Selbst wenn ein berechtigtes Interesse vorliegt, müssen Unternehmen die allgemeinen Datenschutzgrundsätze einhalten. Besonders relevant sind hierbei:

• 1. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
  • Es dürfen nur diejenigen Informationen aufbewahrt werden, die für den jeweiligen Zweck – also die Nachweiserhaltung – unbedingt erforderlich sind. Eine vollständige Kopie der Auskunft oder der betroffenen Daten ist unter Umständen nicht notwendig. Stattdessen ist zu prüfen, ob die ggf. erforderlichen Nachweise auch auf anderem Weg, beispielsweise über die Speicherung von Meta-Informationen wie das Datum der Anfrage, der Versand der Antwort oder ein Vermerk über den Inhalt der Kommunikation, erreicht werden können.

• 2. Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)
  • Die Nachweise dürfen nur so lange gespeichert werden, wie sie für den genannten Zweck erforderlich sind. Es empfiehlt sich, unternehmensintern klare Löschfristen festzulegen, beispielsweise in Anlehnung an zivilrechtliche Verjährungsfristen (regelmäßig drei Jahre ab Ende des Kalenderjahres).

Zur datenschutzkonformen Nachweiserhaltung sollten Unternehmen folgende Maßnahmen ergreifen:

• Erarbeitung eines Löschkonzepts, das den Umgang mit Nachweisen strukturiert regelt.
• Dokumentation der Interessenabwägung, um die Rechtmäßigkeit der Speicherung belegen zu können.
• Technische Maßnahmen zur Datensicherheit, insbesondere Zugriffsbeschränkungen auf die gespeicherten Nachweise.
• Sensibilisierung der Mitarbeitenden, etwa durch Schulungen oder interne Richtlinien.

Die Erhaltung von Nachweisen über Auskunftsersuchen ist unter bestimmten Voraussetzungen datenschutzrechtlich zulässig. Unternehmen können sich dabei auf ein berechtigtes Interesse stützen, müssen jedoch gleichzeitig den Prinzipien der Datenminimierung und Speicherbegrenzung Rechnung tragen. Die bloße Möglichkeit eines zukünftigen Rechtsstreits rechtfertigt keine unbegrenzte oder vollständige Speicherung. Eine differenzierte Betrachtung, gepaart mit klaren internen Prozessen, hilft Unternehmen, sowohl rechtssicher als auch datenschutzkonform zu agieren.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.