Wenn ein Mandant seine Akte sehen will, antworten Sie, nicht Ihr Softwareanbieter.

Wer muss auf so einen Brief antworten?

Sie. Das Auskunftsrecht aus Artikel 15 der Datenschutz-Grundverordnung richtet sich gegen den Verantwortlichen, und Verantwortlicher ist der Betrieb, der über Zwecke und Mittel der Verarbeitung entscheidet. Bei einer Mandantenakte ist das die Beratung.

Ihr Softwareanbieter ist Auftragsverarbeiter. Er verarbeitet die Daten in Ihrem Auftrag und hat keine eigene Entscheidungsbefugnis über sie. Nach Artikel 28 Absatz 3 Buchstabe e DSGVO unterstützt er Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Ihrer Pflicht zur Beantwortung solcher Anträge nachzukommen.

Unterstützen ist etwas anderes als antworten. Die Auskunft geht unter Ihrem Briefkopf hinaus. Wenn sie falsch ist, ist sie Ihre falsche Auskunft.

Wie viel Zeit haben Sie?

Einen Monat. Artikel 12 Absatz 3 Satz 1 DSGVO verlangt, dass der Verantwortliche die Informationen über die ergriffenen Maßnahmen unverzüglich zur Verfügung stellt, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags.

Satz 2 lässt eine Verlängerung um weitere zwei Monate zu, wenn das unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Diese Verlängerung ist an eine Bedingung geknüpft. Nach Satz 3 müssen Sie die betroffene Person innerhalb des ersten Monats über die Verlängerung und über die Gründe für die Verzögerung unterrichten.

Wer den ersten Monat verstreichen lässt und danach verlängern will, hat die Verlängerung schon verloren. Das ist die häufigste Falle in dieser Vorschrift.

Was kostet die Auskunft?

Nichts. Nach Artikel 12 Absatz 5 Satz 1 DSGVO werden die Informationen und Maßnahmen unentgeltlich zur Verfügung gestellt.

Satz 2 erlaubt bei offenkundig unbegründeten oder, insbesondere bei häufiger Wiederholung, exzessiven Anträgen ein angemessenes Entgelt oder die Weigerung. Satz 3 dreht dabei die Beweislast um. Den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter hat der Verantwortliche zu erbringen. Diese Tür ist also schmaler, als sie beim ersten Lesen aussieht.

Für weitere Kopien gilt eine eigene Regel. Artikel 15 Absatz 3 Satz 2 lässt für alle weiteren Kopien ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten zu.

Woher wissen Sie, dass der Antrag echt ist?

Sie dürfen nachfragen. Artikel 12 Absatz 6 DSGVO erlaubt es, bei begründeten Zweifeln an der Identität zusätzliche Informationen anzufordern, die zur Bestätigung erforderlich sind.

Begründete Zweifel heißt nicht, dass Sie bei jedem Brief einen Ausweis verlangen. Bei einer Akte mit Gesundheitsdaten und Angaben zu Straftaten ist eine Prüfung aber angebracht. Wie das ohne Ausweiskopie geht, steht unter In einer MPU-Akte treffen drei Regelwerke aufeinander.

Was gehört in die Auskunft hinein?

Artikel 15 Absatz 1 zählt es auf. Neben den Daten selbst gehören dazu unter anderem folgende Angaben.

• die Verarbeitungszwecke,
• die Kategorien der verarbeiteten Daten,
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden,
• falls möglich die geplante Speicherdauer, sonst die Kriterien für ihre Festlegung,
• das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie des Beschwerderechts bei einer Aufsichtsbehörde,
• alle verfügbaren Informationen über die Herkunft der Daten, wenn sie nicht bei der betroffenen Person erhoben wurden.

Dazu kommt Absatz 3 Satz 1. Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind.

Zwei dieser Punkte lassen sich nur beantworten, wenn jemand vorher etwas aufgeschrieben hat. Die Herkunft der Daten und die Empfänger stehen nirgends von allein. Wer den Bescheid der Behörde ohne Vermerk in die Akte legt, weiß drei Jahre später nicht mehr, woher er kam. Wie Sie die Speicherdauer vorher festlegen, steht unter Auf die Frage nach der Aufbewahrungsfrist gibt es keine einzelne Zahl.

Wo hört die Auskunft auf?

Bei den Daten anderer Menschen. Artikel 15 Absatz 4 DSGVO stellt klar, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf.

Das deutsche Recht wird an dieser Stelle deutlicher. § 29 Absatz 1 Satz 2 des Bundesdatenschutzgesetzes sagt, dass das Auskunftsrecht nicht besteht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten.

In einer MPU-Akte betrifft das die Angaben, die von anderen stammen. Eine Notiz über ein Gespräch mit der Ehefrau enthält deren Daten und nicht nur die Ihres Mandanten.

Ob eine einzelne Notiz darunter fällt, entscheidet dieser Beitrag nicht. Das ist eine Abwägung im Einzelfall, und niemand kann sie Ihnen mit einer Faustregel abnehmen.

Was ist zu tun, wenn Sie etwas zurückhalten?

Aufschreiben und begründen. § 34 Absatz 2 Satz 1 BDSG verlangt, dass die Gründe der Auskunftsverweigerung dokumentiert werden. Satz 2 verlangt, dass die Ablehnung gegenüber der betroffenen Person begründet wird, soweit dadurch nicht der mit der Verweigerung verfolgte Zweck gefährdet würde.

Praktisch heißt das, dass Sie die Auskunft nicht einfach kürzen. Sie schwärzen die Stelle, Sie sagen, dass Sie geschwärzt haben, und Sie legen in Ihrer eigenen Ablage ab, warum.

Was machen Sie am Tag, an dem der Brief kommt?

Fünf Handgriffe, in dieser Reihenfolge.

• Das Eingangsdatum notieren. Daran hängt die Monatsfrist.
• Prüfen, ob Zweifel an der Identität bestehen.
• Zusammentragen, was Sie über diesen Menschen gespeichert haben, auch außerhalb der Akte. Der Terminkalender und das Postfach gehören dazu.
• Durchgehen, welche Stellen Daten Dritter enthalten, und diese Entscheidung aufschreiben.
• Antworten und eine Kopie der Antwort behalten.

Der dritte Punkt ist der aufwendige. Er ist auch der, an dem sich zeigt, ob die Akte ein Ort ist oder eine Vorstellung.

Ein letzter Hinweis zur Aufsicht. § 29 Absatz 3 Satz 1 BDSG nimmt die Untersuchungsbefugnisse der Aufsichtsbehörden gegenüber den in § 203 Absatz 1, 2a und 3 des Strafgesetzbuchs genannten Personen oder deren Auftragsverarbeitern zurück, soweit ihre Ausübung zu einem Verstoß gegen deren Geheimhaltungspflichten führen würde. Der letzte Halbsatz betrifft uns: Wer als Auftragsverarbeiter für einen Berufsgeheimnisträger arbeitet, steht insoweit unter derselben Beschränkung. Das entlastet Sie nicht von der Auskunft an Ihren Mandanten. Es ist eine andere Frage an einer anderen Stelle.