Identität prüfen ohne Übermaß: Art. 12 Abs. 6 DSGVO in der Praxis

Eine Auskunftsanfrage kommt von einer Adresse, die im Kundenbestand nirgends auftaucht. Zwei Reflexe liegen nahe, und beide führen in die Irre: einfach antworten, oder erst einmal eine Ausweiskopie verlangen. Art. 12 Abs. 6 DSGVO zieht die Linie dazwischen, und sie verläuft enger, als es die Upload-Felder mancher Anfrageformulare vermuten lassen. Hier steht, wann Zweifel begründet sind, was dann verhältnismäßig ist und warum die Uhr in der Zwischenzeit weiterläuft.

Zwei Fehler, zwei Richtungen

Die Identitätsprüfung ist der einzige Schritt einer Betroffenenanfrage, bei dem man in beide Richtungen danebenliegen kann. Deshalb ist sie auch der Schritt, an dem am häufigsten eine pauschale Hausregel steht statt einer Entscheidung.

Zu wenig geprüft. Geht die Auskunft an die falsche Person, sind personenbezogene Daten unbefugt offengelegt worden. Genau das ist der Wortlaut der Begriffsbestimmung in Art. 4 Nr. 12 DSGVO. Damit steht die Frage im Raum, ob dieser Vorfall selbst nach Art. 33 Abs. 1 DSGVO an die Aufsichtsbehörde zu melden ist: Aus einer beantworteten Anfrage wird eine eigene Datenpanne.

Zu viel verlangt. Eine Ausweiskopie ohne Anlass ist keine Vorsichtsmaßnahme, sondern die Verarbeitung von Daten, die für die Auskunft niemand braucht. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gilt auch für Daten, die eine betroffene Person selbst hochlädt, weil ein Formular sie dazu auffordert.

Was Art. 12 Abs. 6 DSGVO erlaubt

Die Vorschrift ist eine Ausnahme und liest sich auch so. Zusätzliche Informationen zur Bestätigung der Identität darf der Verantwortliche nur anfordern, wenn er begründete Zweifel an der Identität der antragstellenden Person hat. Und selbst dann nur in dem Umfang, der zur Bestätigung nötig ist.

• Begründete Zweifel. Der Zweifel muss sich am konkreten Fall festmachen lassen. Eine Regel, die bei jeder Anfrage einen Nachweis verlangt, kennt keine Zweifel, sondern nur ein Formularfeld.
• Verhältnismäßigkeit. Gefragt wird nach dem, was die Zuordnung trägt, nicht nach allem, was ein Ausweis enthält. Wer eine Kundennummer bestätigt haben will, braucht kein Geburtsdatum und keine Ausweisnummer.

Umgekehrt heißt das nicht, dass Zweifel selten wären. Sie sind nur zu begründen. Eine Anfrage von einer Freimail-Adresse, die zu keinem Datensatz passt, dazu Angaben, die im Bestand anders lauten: Das ist ein Zweifel, den man aufschreiben kann. Genau diese Notiz ist später der Beleg dafür, dass die Nachfrage kein Reflex war.

Wann der Kanal schon genügt

In den meisten Fällen beantwortet der Weg, über den die Anfrage kam, die Identitätsfrage bereits. Vier Situationen aus dem Tagesgeschäft, nebeneinandergestellt:

Die Reihenfolge ist dabei wichtiger als die Strenge: Fragen Sie zuerst über den Kanal zurück, der im Bestand hinterlegt ist. Wer dort antwortet, hat sich ausgewiesen, ohne dass ein einziges neues Datum entstanden ist. Erst wenn dieser Weg ausfällt, wird eine zusätzliche Angabe zum Thema.

Zwei Grenzen dieser Tabelle gehören dazugesagt. Sie ersetzt keine Prüfung im Einzelfall, und sie sagt nichts darüber, wie stark ein Kanal technisch abgesichert ist. Ein Kundenkonto ohne Passwortpflicht trägt weniger als eines mit.

Die Frist läuft, während Sie prüfen

Art. 12 Abs. 3 DSGVO knüpft die Antwortfrist an den Eingang des Antrags: unverzüglich, in jedem Fall aber binnen eines Monats. Eine Hemmung für die Zeit der Identitätsklärung nennt der Wortlaut nicht.

Einheitlich beurteilt wird das nicht. Das Bayerische Landesamt für Datenschutzaufsicht lässt die Frist erst mit der Klärung beginnen. BetroffenenRecht24 rechnet ohne diesen Aufschub, und zwar aus einem praktischen Grund: Wer den früheren Termin hält, ist in jeder Auslegung pünktlich. Welcher Kalendertag das ist, rechnet die Seite DSGVO-Frist berechnen vor, ohne Anmeldung und ohne Speicherung.

Die Verlängerung um zwei weitere Monate ist dafür kein Ausweg. Sie setzt eine Mitteilung mit Gründen innerhalb des ersten Monats voraus (Art. 12 Abs. 3 Satz 3 DSGVO), und eine offene Identitätsfrage ist kein Grund, den man am 29. Tag zum ersten Mal aufschreibt. Die Abwägung zwischen Antworten und Verlängern steht im Beitrag Antwortfrist verlängern oder jetzt antworten?.

Praktisch folgt daraus die Reihenfolge: Die Identitätsfrage gehört an den Anfang des Vorgangs, nicht ans Ende. Wer sie erst stellt, wenn die Auskunft fertig zusammengetragen ist, hat den Puffer bereits verbraucht.

Der Ablauf in vier Schritten

Bleibt die Identität ungeklärt, ist Schweigen trotzdem keine Option. Wird der Verantwortliche nicht tätig, unterrichtet er die Person spätestens binnen eines Monats nach Eingang über die Gründe und über die Möglichkeit, Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).

Pflicht, Empfehlung, Praxis

Bei diesem Thema geht die Ebene besonders leicht verloren, weil Organisationsregeln wie Rechtspflichten klingen. Getrennt sieht das so aus:

• Pflicht: Zusätzliche Informationen nur bei begründeten Zweifeln und nur, soweit zur Bestätigung erforderlich (Art. 12 Abs. 6 DSGVO).
• Pflicht: Die Antwort unverzüglich, in jedem Fall binnen eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).
• Pflicht: Auch die Entscheidung, nicht tätig zu werden, wird mitgeteilt, mit Gründen und Rechtsbehelfshinweis (Art. 12 Abs. 4 DSGVO).
• Empfehlung: Erst über den hinterlegten Kanal zurückfragen, bevor eine zusätzliche Angabe verlangt wird. Das ist Organisation, keine Vorschrift.
• Empfehlung: Den Zweifel schriftlich festhalten, bevor die Nachfrage hinausgeht. Auch das steht in keiner Norm, trägt aber die Rechenschaftspflicht.

BetroffenenRecht24 führt jede Anfrage als Vorgang mit Eingangsdatum, laufender Frist und Ampel und hält die Identitätsentscheidung mit Begründung und Zeitpunkt daneben fest. Wie die fertige Auskunft danach aufgebaut ist, führt die Seite DSGVO-Auskunft erteilen auf.

Was die Software nicht tut: Sie stellt die Identität nicht fest und entscheidet nicht, ob Ihre Zweifel im Einzelfall begründet sind. Sie ersetzt keine Rechtsberatung. Die Verantwortung für die Entscheidung bleibt beim Verantwortlichen; die Software sorgt dafür, dass sie getroffen, begründet und fristgerecht mitgeteilt wird.

Häufige Fragen

Darf ich bei jeder Anfrage eine Ausweiskopie verlangen?

Nein. Zusätzliche Informationen zur Bestätigung der Identität sind nur bei begründeten Zweifeln zulässig und auch dann nur, soweit sie zur Bestätigung erforderlich sind (Art. 12 Abs. 6 DSGVO). Das Bayerische Landesamt für Datenschutzaufsicht hält es für regelmäßig unzulässig, pauschal eine Ausweiskopie zu verlangen.

Wann sind Zweifel begründet?

Wenn sie sich am konkreten Fall festmachen lassen, etwa weil die Anfrage von einer Adresse kommt, die zu keinem Datensatz passt, oder weil die genannten Angaben im Bestand anders lauten. Halten Sie den Grund schriftlich fest, bevor Sie nachfragen. Ohne diese Notiz sieht die Nachfrage später aus wie eine Hausregel, und eine Hausregel kennt keine Zweifel.

Stoppt die Identitätsprüfung die Monatsfrist?

Rechnen Sie damit, dass sie weiterläuft. Art. 12 Abs. 3 DSGVO knüpft die Frist an den Eingang des Antrags und nennt keine Hemmung. Das Bayerische Landesamt für Datenschutzaufsicht lässt die Frist erst mit der Klärung beginnen; die Frage wird also nicht einheitlich beurteilt. Wer den früheren Termin hält, ist in jeder Auslegung pünktlich.

Was mache ich, wenn die Identität ungeklärt bleibt?

Antworten müssen Sie trotzdem. Wird der Verantwortliche nicht tätig, unterrichtet er die betroffene Person spätestens binnen eines Monats nach Eingang über die Gründe und über die Möglichkeit, Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).

Was passiert, wenn ich die Auskunft an die falsche Person schicke?

Dann sind personenbezogene Daten unbefugt offengelegt worden, und das ist eine Verletzung im Sinne von Art. 4 Nr. 12 DSGVO. Ob der Vorfall an die Aufsichtsbehörde zu melden ist, entscheidet die Risikofrage aus Art. 33 Abs. 1 DSGVO. Dokumentieren müssen Sie ihn in jedem Fall (Art. 33 Abs. 5 DSGVO).

Darf ich die angeforderten Nachweise aufbewahren?

Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen und auf das notwendige Maß beschränkt sind. Für den Nachweis der Fristeinhaltung genügt in aller Regel der Vermerk, dass und wie die Identität geklärt wurde, nicht die Kopie selbst.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Ob Zweifel an der Identität im Einzelfall begründet sind und welche Nachfrage verhältnismäßig ist, bleibt die Entscheidung des Verantwortlichen. Wenden Sie sich dafür an fachkundige Beratung.