DSGVO-Auskunft: Daten Dritter prüfen und schwärzen

Eine E-Mail kann zugleich Angaben über die anfragende Person, eine Kollegin und einen Kunden enthalten. Vor einer Auskunft muss geklärt werden, welche Informationen herauszugeben sind und welche Rechte anderer Personen betroffen wären. Eine pauschale Ablehnung wegen fremder Namen ist dafür ebenso wenig geeignet wie der ungeprüfte Versand des gesamten Postfachauszugs.

Zuerst den Inhalt, danach die mögliche Einschränkung prüfen

Art. 15 DSGVO umfasst den Zugang zu den personenbezogenen Daten der anfragenden Person sowie weitere Informationen über die Verarbeitung. Absatz 4 schützt beim Erhalt einer Kopie die Rechte und Freiheiten anderer Personen. Das verlangt eine konkrete Prüfung. Es bedeutet weder, dass jedes Dokument mit einem fremden Namen vollständig zurückgehalten werden darf, noch dass fremde Angaben grundsätzlich mitgeschickt werden müssen.

Die Leitlinien des Europäischen Datenschutzausschusses behandeln die Abwägung und mögliche Maßnahmen zum Schutz anderer Personen. Entscheidend ist, die betroffenen Informationen zu identifizieren und eine geeignete Lösung zu finden. In Betracht kommt beispielsweise eine begrenzte Schwärzung, sofern die geschuldete Auskunft dadurch verständlich und vollständig bleibt. Eine bloße Behauptung, der gesamte Vorgang sei vertraulich, ersetzt die Prüfung nicht.

Trennen Sie in Ihrer Arbeitsliste daher zwei Fragen: Welche Information betrifft die anfragende Person, und welches konkrete fremde Recht könnte durch die Herausgabe beeinträchtigt werden? Für die gesamte Bearbeitung finden Sie den Einstieg unter Auskunftsantrag nach Art. 15 beantworten. Dieser Beitrag konzentriert sich auf gemischte Unterlagen.

Eine Prüftabelle für gemischte Dokumente anlegen

Diese Tabelle ist eine organisatorische Arbeitshilfe. Sie schreibt das rechtliche Ergebnis nicht vor. Bei schwierigen Abwägungen sollte die zuständige Datenschutzfunktion oder eine befugte rechtliche Beratung einbezogen werden. Beschäftigte, die Unterlagen aus einem Fachbereich zuliefern, müssen nicht nebenbei über komplexe Schutzinteressen entscheiden.

Beschränken Sie den Zugriff auf die Prüfunterlagen auf die dafür zuständigen Personen. Auch die interne Arbeitsliste kann sensible Angaben enthalten. Ein allgemein zugängliches Teamdokument mit sämtlichen Namen und Konfliktdetails wäre kein geeigneter Ort, nur weil es als „Schwärzungsliste“ bezeichnet wird.

Beispiel: eine E-Mail mit mehreren Personen

Im erfundenen Beispiel fragt eine Kundin nach ihren gespeicherten personenbezogenen Daten. Eine interne E-Mail enthält die Beschreibung ihrer Beschwerde, eine Bearbeitungsnotiz und private Angaben über eine unbeteiligte Person. Die Bearbeitung beginnt mit der Zuordnung: Welche Aussagen betreffen die Kundin, und welche Passage steht in keinem erforderlichen Zusammenhang mit der verständlichen Auskunft?

Die zuständige Person prüft anschließend die betroffenen Rechte und die geeignete Darstellung. Eine mögliche Lösung ist eine gezielte Schwärzung der privaten Passage, während die geschuldeten Angaben zur Kundin erhalten bleiben. Das ist kein allgemeingültiges Ergebnis für jede E-Mail. Entscheidend sind der konkrete Inhalt und die jeweiligen Rechte. Insbesondere sollte nicht automatisch jeder Name eines Mitarbeitenden entfernt werden, ohne seine Funktion im Zusammenhang zu prüfen.

Dokumentieren Sie das Ergebnis so, dass eine andere zuständige Person es nachvollziehen kann. Ein interner Vermerk „alles wegen Datenschutz entfernt“ lässt nicht erkennen, welche Abwägung stattgefunden hat.

Eine schwarze Fläche ist noch keine sichere Schwärzung

Arbeiten Sie an einer gesonderten Auskunftskopie und erhalten Sie den erforderlichen Originalbestand nach den geltenden Aufbewahrungsregeln. Verwenden Sie eine Funktion, die den zu entfernenden Inhalt tatsächlich aus der Ausgabedatei entfernt. Ein darübergelegtes Rechteck oder eine geänderte Schriftfarbe kann den Text darunter weiterhin zugänglich lassen.

Prüfen Sie die fertige Ausgabedatei in einem anderen geeigneten Anzeigeprogramm. Lassen sich geschwärzte Wörter über Suche, Markieren oder Kopieren noch auslesen? Enthält die Datei Kommentare, Änderungsverläufe, Anhänge oder weitere Seiten, die nicht geprüft wurden? Diese Kontrollen sind technische Arbeitsschritte. Sie ersetzen nicht die vorgelagerte Entscheidung darüber, was rechtlich offengelegt werden muss.

Bei Tabellen lohnt sich ein Blick auf ausgeblendete Blätter und Spalten. Bei Textdokumenten sind Kommentare und Änderungsstände mitzudenken. Für den Versand sollte eindeutig feststehen, welche Datei freigegeben wurde. Eine ähnlich benannte ungeschwärzte Arbeitsfassung darf nicht versehentlich im Anhang landen.

Freigabe und Frist gemeinsam im Blick behalten

Planen Sie die Prüfung fremder Rechte als eigenen Arbeitsschritt ein. Beginnt sie erst unmittelbar vor dem vorgesehenen Versand, entsteht leicht Zeitdruck. Ordnen Sie offene Fragen frühzeitig einer zuständigen Person zu und halten Sie den Bearbeitungsstand fest. Eine komplizierte Prüfung hebt die gesetzlichen Anforderungen an die Antwortfrist nicht von selbst auf.

Ob eine Verlängerung in Betracht kommt und welche Mitteilung erforderlich ist, muss anhand der gesetzlichen Voraussetzungen geprüft werden. Der Beitrag Antwortfrist verlängern oder antworten erläutert diese gesonderte Frage. BetroffenenRecht unterstützt die Zuordnung von Anfragen und Bearbeitungsschritten; die fachliche Abwägung und Freigabe bleiben Aufgaben der verantwortlichen Organisation.

• Die geschuldeten personenbezogenen Daten wurden identifiziert.
• Mögliche Beeinträchtigungen anderer Personen wurden konkret geprüft.
• Die Entscheidung ist intern nachvollziehbar.
• Die Auskunftskopie enthält keine nur optisch verdeckten Inhalte.
• Anhänge, Kommentare und zusätzliche Tabellenblätter sind kontrolliert.
• Die freigegebene Fassung und der Übergabeweg stehen eindeutig fest.

Häufige Fragen

Darf ich wegen Daten Dritter die gesamte Auskunft ablehnen?

Nicht pauschal. Prüfen Sie die konkreten Rechte und geeignete Schutzmaßnahmen. Eine begrenzte Schwärzung kann in Betracht kommen, wenn die geschuldete Auskunft verständlich erhalten bleibt.

Muss jeder Mitarbeitername geschwärzt werden?

Das lässt sich nicht allgemein beantworten. Personenbezug, Zusammenhang und betroffene Rechte müssen im Einzelfall geprüft werden.

Wie erkenne ich eine technisch unsichere Schwärzung?

Wenn verdeckte Inhalte noch über Suche, Kopieren, Kommentare oder weitere Dateibestandteile zugänglich sind, ist die Ausgabe nicht ausreichend bereinigt. Prüfen Sie die tatsächlich zu versendende Datei.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.