Geht im Unternehmen oder in der Behörde ein Auskunftsersuchen ein, ist Ignorieren die schlechteste aller Lösungen. Das Gesetz fordert, dass der Verantwortliche so oder so eine Antwort erteilen muss, und zwar spätestens innerhalb eines Monats. Diese Frist wurde mit der DSGVO eingeführt. Gilt sie auch in Corona-Zeiten? Ja. Eine Fristverlängerung sieht die DSGVO nicht bzw. nur in Ausnahmen vor. Grundsätzlich muss die Auskunft innerhalb eines Monats erteilt werden.
Allerdings ist eine Verlängerung um zwei weitere Monate zulässig, wenn „dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.“ Was heißt das nun? Die Komplexität des Auskunftsersuchens oder die schiere Anzahl der Anträge können zur Verlängerung der Monatsfrist genügen. Ist also eine zuständige Fachabteilung in Corona-bedingter Kurzarbeit, könnte dies für eine Fristverlängerung ausreichend sein.
Die Erfahrung von UIMC zeigt, dass die Aufsichtsbehörden generell eine zweistufige Vorgehensweise akzeptieren. Bei großen Datenmengen werden zunächst die „Kerndaten“ zur Verfügung gestellt mit dem Hinweis, die restlichen Angaben nachzureichen, sofern der Betroffene diese auch wünscht. Vor dem Hintergrund der Corona-Pandemie könnte also zunächst der Kern der Auskunft erteilt werden, um sodann die übrigen Daten möglichst zeitnah nachzureichen. Im Zuge des Einschreitensermessens kann es im Einzelfall jedoch geboten sein, dass die Aufsichtsbehörde Hamburg beispielsweise Verstöße nicht verfolgt, in denen die gesetzliche Frist überschritten wird, weil die Arbeitsfähigkeit des Verantwortlichen pandemiebedingt stark eingeschränkt ist. Bei der Beurteilung wird es entscheidend auf die Länge der Überschreitung sowie die Unternehmensgröße und die damit verbundene berechtigte Erwartung an die Professionalität des Verantwortlichen ankommen.
Bei der Bußgeldbemessung könnte die Rechtsfigur der Wiedereinsetzung in den vorigen Stand zum Tragen kommen, vermutet UIMC. Was bedeutet das? Die Wiedereinsetzung führt nicht dazu, dass sich eine (gesetzliche) Frist verlängert. Sie bewirkt vielmehr, dass eine versäumte und verspätet nachgeholte Prozesshandlung als rechtzeitig bewirkt gilt. Sie wird nur gewährt, wenn das Fristversäumnis unverschuldet erfolgte. Die DSGVO sieht eine entsprechende Möglichkeit zur Wiedereinsetzung nicht vor; allerdings ließe sich der dahinterstehende Rechtsgedanke bei der Bußgeldbemessung anbringen.
Fazit: Auskunftsersuchen sind auch in Zeiten der Coronavirus-Pandemie ernst zu nehmen. Denn unvollständige, unterlassene oder zu späte Antworten sind von Geldbußen bedroht, auch wenn eine Aufsichtsbehörde bereits „Nachsicht“ angedeutet hat. „Die Unternehmen sind gut beraten hier seriös und aufmerksam zu agieren“, appelliert UIMC-Geschäftsführer Dr. Jörn Voßbein.
Die UIMC ist eine gesellschaftergeführte mittelständische Unternehmensberatung mit den Kerngebieten Datenschutz und Informationssicherheit; im Datenschutz gehören wir zu den marktführenden Beraterhäusern. Wir bieten als Vollsortimenter sämtliche Unterstützungsmöglichkeiten der Analyse, Beratung, Umsetzung und Schulung/Sensibilisierung bis hin zum Komplett-Outsourcing des Beauftragten an.
Das Schwesterunternehmen UIMCert ist als sachverständige Prüfstelle für die Norm ISO/IEC 27001 von der DAkkS akkreditiert.
UIMC Dr. Vossbein GmbH & Co. KG
Otto-Hausmann-Ring 113
42115 Wuppertal
Telefon: +49 (202) 946 7726 200
Telefax: +49 (202) 946 7726 9200
http://www.uimc.de
Geschäftsführer
Telefon: +49 (202) 9467726-200
Fax: +49 (202) 9467726-9200
E-Mail: consultants@uimc.de