1. Datenschutzanfrage und Dienstleister prüfen

1. Zweck und Anwendungsfall

Erstelle das beauftragte datenschutzrechtliche oder vertragliche Dokument. Fachinhalt sind Betroffenenrechte, Dienstleisterpflichten und sichere Abwicklung, nicht ein allgemeines Datenschutzkonzept. Ein Unternehmen kann aus seinem Dienstleistungsvertrag Datenherausgabe verlangen, ohne selbst betroffene natürliche Person nach Artikel 15 DSGVO zu sein.

2. Eingaben

Lies Anfrage mit Eingangsdatum, Auftrag, Identitäts- oder Vertretungshinweise, Leistungs- und Auftragsverarbeitungsvertrag, tatsächliche Datenflüsse und vorhandene Korrespondenz aus dem gemeinsamen Aktenstand. Ohne Material frage nach der konkreten Anfrage oder dem verweigerten Datenzugang und der vertretenen Seite. Bei Ordner ohne Auftrag intern lesen und passende Zielwahl, keine Inventarliste. Frage nur die entscheidenden unbekannten Verarbeitungstatsachen, keine vorsorgliche Kopie sämtlicher Kundendaten.

3. Ablauf / Checkliste

3.1. Anspruch und Rolle

Trenne natürliche Person, Gesellschaft, Bevollmächtigten, Verantwortlichen, Auftragsverarbeiter und gegebenenfalls gemeinsam Verantwortliche anhand tatsächlicher Zwecke und Mittel. Vertragsüberschriften entscheiden nicht allein. Artikel 15 DSGVO ist nicht mit Datenübertragbarkeit nach Artikel 20 oder einem vertraglichen Exportanspruch identisch. Rechtsgrundlage, Weisungsbindung und Zugriffsbefugnisse für den konkreten Vorgang prüfen.

3.2. Auskunft vollständig bearbeiten

Bestimme Gegenstand und Eingang der Anfrage. Artikel 12 Absatz 3 sieht grundsätzlich einen Monat vor; mögliche Verlängerung um zwei weitere Monate verlangt Voraussetzungen und rechtzeitige begründete Information innerhalb des ersten Monats. Keine pauschale 30-Tage-Regel. Identität nur bei begründeten Zweifeln verhältnismäßig nachprüfen, keine automatische Vollausweiskopie und keinen ungeprüften Fristneustart annehmen.

Für Artikel 15 konkrete personenbezogene Daten sowie Zwecke, Kategorien, Empfänger, Speicherdauer oder Kriterien, Rechte, Herkunft und gegebenenfalls Informationen zur automatisierten Entscheidung zuordnen. Tatsächliche Verarbeitung prüfen; keine beschönigende Musterantwort und keine ungeprüfte Negativauskunft. Kopie verständlich und vollständig hinsichtlich der geschuldeten Daten gestalten. Dokumentkontext dort erhalten, wo er zum Verständnis nötig ist; Rechte Dritter konkret durch Schwärzung oder geeignete Teilbereitstellung schützen statt pauschaler Verweigerung. Geheimhaltungsgründe nachvollziehbar und begrenzt prüfen.

3.3. Dienstleister und Vertragsende

Bei Auftragsverarbeitung Artikel 28 Absatz 3 an konkreten Pflichten prüfen: Gegenstand, Dauer, Art, Zweck, Datenarten, Betroffene, Weisungen, Vertraulichkeit, Schutzmaßnahmen, Unteraufträge, Unterstützung, Rückgabe oder Löschung und Nachweis beziehungsweise Kontrolle. Ein Zertifikat ersetzt die konkrete Vereinbarung nicht. Datenstandorte und tatsächlichen Drittlandzugriff prüfen; einen Vertrag über Auftragsverarbeitung nicht als vollständige Transferlösung behandeln.

Für Herausgabe oder Export Datenumfang, Format, Zeitraum, Lesbarkeit, Übertragungskanal, Frist, Mitwirkung, berechtigte Zurückbehaltung und Vergütung aus dem Vertrag klären. Verhindere durch den Entwurf eine unbeabsichtigte Löschung vor gesicherter Übergabe. Gesetzliche Aufbewahrung und erforderliche Rechtsverteidigung konkret von aktiver Weiternutzung unterscheiden. Eine Verletzung nach Artikeln 33 und 34 DSGVO nur bei tatsächlichem Anhaltspunkt prüfen; nicht jede verspätete Auskunft als meldepflichtige Datenpanne bezeichnen.

3.4. Antworten einarbeiten

Nach Export oder Dienstleisterantwort Vollständigkeit und Format an der ursprünglichen Forderung prüfen. Fehlende Kategorien gezielt ergänzend verlangen und Antwortschreiben vervollständigen. Im bestehenden Aktenstand fortsetzen, keine neue Aufnahme. Nur erforderliche Daten in freigegebenen Umgebungen verarbeiten. Kein Versand, kein Datenabruf gegenüber Dritten, keine Löschung und keine Behördenmeldung ohne ausdrückliche Freigabe.

4. Quellenpflicht

Nutze Zitierweise und Fachquellen, Artikel 4, 5, 6, 12, 15, 17, 18, 20, 26, 28 und 32 DSGVO, bei Anlass weitere Normen. EuGH, Urteil vom 12.01.2023, Az. C-154/21, Randnummern 36 bis 50 und Tenor, ist im amtlichen englischen Volltext gelesen; konkrete Empfänger grundsätzlich auf Verlangen, Grenzen beachten. EuGH, Urteil vom 04.05.2023, Az. C-487/21, ist hier nur über amtliche Pressemitteilung und Verfahrensnachweis erschlossen. Der dokumentierte Direktabruf des DSGVO-Normtexts war gesperrt. Vor tragenden Zitaten die zugängliche aktuelle Fassung prüfen, keine Volltextverifikation vortäuschen.

5. Ausgabeformat

Ausformulierungspflicht: vollständiges Antwortschreiben, Herausgabeverlangen oder Vertragsnachtrag; keine Skelette, Halbsätze und reinen Aufzählungs-Auswürfe. Interne Recherche- und Vollständigkeitsvermerke vom Empfängertext trennen. Notwendige Datenübersichten dürfen ergänzen. Times New Roman 11 pt soweit technisch möglich, ausschließlich dezimale Gliederung mit Leerzeilen; bei Markdown getrennter Exporthinweis. Keine Passwörter, Zugangstoken oder unnötigen Drittpersonendaten in Textbeispiele aufnehmen.

6. Beispiele

Ein Dienstleister verweigert einer GmbH den vereinbarten Kundendatenexport wegen offener Rechnungen. Prüfe vertraglichen Herausgabeanspruch und Gegenrechte, nicht Artikel 15 als Anspruch der GmbH. Eine daneben gestellte Anfrage eines Kunden wird mit eigener Rollen- und Fristprüfung beantwortet.

Nach einer Antwort mit bloßen Empfängerkategorien wird die konkrete Benennung verlangt. Prüfe identifizierbare Empfänger und gesetzliche Grenzen, fordere die fehlende Angabe gezielt nach und halte die übrige fertige Antwort aufrecht.