Ein ehemaliger Mitarbeiter verlangt per E-Mail eine Kopie seiner gespeicherten Daten. Gleichzeitig fragt eine Kundin über den Support, welche Informationen das Unternehmen über sie bearbeitet. Wer solche Auskunftsersuchen intern sauber bearbeiten will, braucht mehr als eine freundliche Antwortvorlage. Entscheidend sind klare Zuständigkeiten, ein nachvollziehbarer Suchprozess und eine Dokumentation, die auch Monate später noch zeigt, was geprüft und herausgegeben wurde.
Warum ein definierter Ablauf entscheidend ist
Das Schweizer Datenschutzgesetz gibt jeder Person das Recht, Auskunft darüber zu verlangen, ob und welche Personendaten über sie bearbeitet werden (Art. 25 DSG). Je nach Geschäftsmodell treffen solche Anfragen HR, Kundenservice, Verkauf, IT, Administration oder die Geschäftsleitung. Bei Unternehmen mit EU-Bezug können zusätzlich Anforderungen der DSGVO relevant sein. Die eigentliche Herausforderung liegt selten im Eingang der Anfrage. Sie beginnt dort, wo Informationen über verschiedene Systeme, Ablagen und Verantwortungsbereiche verteilt sind.
Ohne geregelten Prozess entstehen zwei gegensätzliche Risiken: Entweder die Anfrage bleibt zu lange liegen, oder Mitarbeitende geben vorschnell Informationen heraus, die nicht zur anfragenden Person gehören oder geschützt werden müssen. Beides ist nicht nur ein Reputationsproblem. Wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt, riskiert nach Art. 60 DSG eine Busse von bis zu 250'000 Franken, und zwar als verantwortliche Person persönlich, nicht das Unternehmen.
Der Ablauf in fünf Schritten
Ein funktionierender Prozess muss nicht kompliziert sein. Er soll den Weg von der Anfrage bis zur versendeten Antwort verbindlich machen und gleichzeitig für kleine Teams handhabbar bleiben.
1. Anfrage erfassen und zentral zuweisen
Jedes Auskunftsersuchen wird sofort in einem zentralen Register erfasst: Eingangsdatum, anfragende Person, Kanal, zuständige interne Stelle, Frist und Bearbeitungsstand. Eine gemeinsame Funktionsadresse oder ein Ticket-System verhindert, dass Anfragen in persönlichen Postfächern übersehen werden. Ein Auskunftsersuchen ist an keine Form gebunden. Auch eine mündliche Frage am Empfang oder eine Nachricht über ein Kontaktformular löst den Prozess aus.
Bestimmen Sie eine koordinierende Person oder Rolle. Sie muss nicht alle Daten selbst suchen, steuert aber den Prozess, formuliert Suchaufträge an die Fachbereiche und prüft, ob die Antwort vollständig ist. Gerade in KMU braucht es eine Stellvertretung: Ferien oder ein Stellenwechsel dürfen nicht dazu führen, dass eine Anfrage liegen bleibt.
2. Identität und Umfang klären
Bevor Daten herausgegeben werden, muss ausreichend geklärt sein, ob die anfragende Person tatsächlich die betroffene Person ist. Wie aufwendig diese Prüfung ausfällt, hängt vom Risiko ab. Bei einem Kundenkonto mit geschütztem Login kann eine Bestätigung über den üblichen Zugang genügen. Bei Personal-, Gesundheits- oder Finanzdaten ist eine sorgfältigere Prüfung angezeigt, etwa über eine Ausweiskopie, die nach der Prüfung wieder gelöscht wird.
Ebenso wichtig ist der Umfang. Manche Personen fragen gezielt nach Daten aus einem bestimmten Zeitraum, andere verlangen allgemein Auskunft. Unklare Anfragen sollten nicht einfach intern weitergeleitet werden. Eine sachliche Rückfrage hilft, den Gegenstand zu präzisieren. Sie ersetzt aber nicht die Pflicht, die Anfrage fristgerecht weiterzubearbeiten.
3. Datenquellen strukturiert durchsuchen
Die koordinierende Stelle erstellt anhand des Bearbeitungsverzeichnisses oder einer vergleichbaren Übersicht eine Suchliste. Typische Quellen sind CRM, ERP, HR-System, Newsletter-Tool, Support-Tickets, Projektablagen, E-Mail-Postfächer, Zutritts- oder Zeiterfassungssysteme sowie Papierdossiers. Nicht jede Anfrage betrifft alle Systeme. Die Suche muss zum Verhältnis der Person zum Unternehmen passen.
Bei einer Bewerberin sind Recruiting-Tool, HR-Ablage und Korrespondenz naheliegend. Bei einem Geschäftskunden stehen Kundenkonto, Bestellungen, Rechnungen, Support und Marketingeinwilligungen im Vordergrund. Bei Mitarbeitenden kommen Personalakte, Lohnadministration, Beurteilungen und interne Kommunikation hinzu. Auch Daten bei Auftragsbearbeitern gehören dazu, sofern sie im Auftrag des Unternehmens bearbeitet werden.
Die Fachbereiche sollten nicht nur Daten liefern, sondern kurz bestätigen, welche Systeme und Zeiträume sie geprüft haben. Das macht Lücken sichtbar und verbessert den Ablauf für die nächste Anfrage. Entscheidend ist eine angemessene, dokumentierte Suche, nicht eine lückenlose Volltextsuche über jedes Archiv.
4. Inhalte prüfen und Drittdaten schützen
Gesammelte Informationen dürfen nicht ungeprüft weitergegeben werden. In E-Mails, Gesprächsnotizen, Tickets oder internen Bewertungen finden sich häufig Angaben zu weiteren Personen. Diese Drittdaten müssen vor der Herausgabe beurteilt und, wo nötig, geschwärzt oder ausgesondert werden.
Art. 26 DSG erlaubt es, die Auskunft zu verweigern, einzuschränken oder aufzuschieben, wenn überwiegende Interessen Dritter oder eigene überwiegende Interessen des Unternehmens dies erfordern, etwa bei Geschäftsgeheimnissen. Diese Ausnahme ist eng auszulegen und muss begründet werden. Es braucht eine Abwägung pro Dokument oder Datenbestand, keine pauschale Zurückhaltung. In komplexen Fällen entscheidet die koordinierende Stelle nicht allein, sondern zieht Datenschutzverantwortliche, HR oder die Geschäftsleitung bei.
Ein häufiger Fehler besteht darin, ganze Dokumente wegen einzelner Drittdaten komplett auszuschliessen. Oft lässt sich der relevante Teil nach einer sauberen Schwärzung bereitstellen. Umgekehrt ist es problematisch, interne E-Mails ohne Prüfung weiterzuleiten, nur weil darin der Name der anfragenden Person erscheint.
5. Antwort verständlich erstellen und sicher übermitteln
Eine gute Auskunft ist mehr als ein Datenexport. Art. 25 Abs. 2 DSG nennt den Mindestinhalt: Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Personendaten als solche, der Bearbeitungszweck, die Aufbewahrungsdauer oder die Kriterien dafür, die Herkunft der Daten (soweit nicht bei der Person selbst beschafft), das Vorliegen einer automatisierten Einzelentscheidung sowie die Empfänger oder Empfängerkategorien inklusive Angaben zu einer Bekanntgabe ins Ausland.
Strukturieren Sie die Antwort nach Themenbereichen, etwa Stammdaten, Vertragsdaten, Kommunikation oder HR-Daten. Legen Sie Kopien oder Auszüge geordnet bei und erläutern Sie allfällige Schwärzungen knapp. So kann die betroffene Person die Informationen nachvollziehen, ohne sich durch ungeordnete Dateianhänge zu arbeiten.
Der Übermittlungsweg muss zum Schutzbedarf passen. Für besonders schützenswerte Personendaten oder umfangreiche Unterlagen ist ein ungesicherter E-Mail-Anhang meist keine gute Wahl. Ein geschützter Downloadbereich oder eine verschlüsselte Übermittlung ist zweckmässiger. Prüfen Sie zudem, ob die Empfängeradresse verifiziert ist.
Fristen und Kosten nicht dem Zufall überlassen
Die Auskunft ist in der Regel innerhalb von 30 Tagen zu erteilen (Art. 25 Abs. 7 DSG). Kann die Frist nicht eingehalten werden, muss das Unternehmen die betroffene Person innerhalb dieser 30 Tage darüber informieren und die neue Frist nennen (Art. 18 DSV). Die Auskunft ist grundsätzlich kostenlos. Nur bei unverhältnismässigem Aufwand darf eine Kostenbeteiligung von höchstens 300 Franken verlangt werden, und auch das nur nach vorheriger Ankündigung (Art. 19 DSV).
Praktisch bewährt sich ein Register mit automatischen Erinnerungen, etwa zehn Arbeitstage vor Ablauf. Die koordinierende Person führt den Status mit einfachen Kategorien: eingegangen, Identität offen, Suche läuft, Prüfung läuft, Antwort freigegeben, versendet. Das wirkt banal, verhindert aber, dass eine Anfrage bei einer internen Rückfrage stecken bleibt.
Bei DSGVO-Bezug gilt eine Monatsfrist mit Verlängerungsmöglichkeit um zwei Monate bei komplexen Anfragen (Art. 12 Abs. 3 DSGVO). Wer beide Regelwerke abdecken muss, orientiert sich am strengeren Ablauf.
Typische Schwachstellen im KMU-Alltag
Viele Unternehmen kennen ihre Datenquellen nur teilweise. Das zeigt sich spätestens beim ersten Auskunftsersuchen: Marketing arbeitet mit einem separaten Tool, HR führt Dateien auf einem Laufwerk, der Kundenservice speichert Gesprächsnotizen im Ticketsystem. Fehlt eine aktuelle Übersicht der Bearbeitungen, wird jede Anfrage zur aufwendigen Recherche.
Eine weitere Schwachstelle sind unklare Entscheidungswege. Der Support beantwortet die Anfrage, HR hält Rücksprache mit der Geschäftsleitung, IT exportiert Daten, aber niemand hat die Gesamtverantwortung. Das Ergebnis ist unvollständig, widersprüchlich oder verspätet. Ein klarer Prozess trennt deshalb Koordination, Datenlieferung, Prüfung und Freigabe.
Auch die Dokumentation wird unterschätzt. Sie sollte festhalten, wann die Anfrage einging, wie die Identität geprüft wurde, welche Stellen gesucht haben, welche Daten herausgegeben oder geschwärzt wurden und wann die Antwort versendet wurde. Diese Unterlagen sind der Nachweis, falls die Person später beim EDÖB oder vor Gericht geltend macht, die Auskunft sei unvollständig gewesen.
Den Prozess mit bestehenden Datenschutzunterlagen verbinden
Ein Auskunftsprozess funktioniert am besten, wenn er nicht isoliert geführt wird. Das Bearbeitungsverzeichnis zeigt, welche Datenbearbeitungen und Systeme relevant sind. Die technischen und organisatorischen Massnahmen regeln die sichere Übermittlung. Vorlagen für Antwortschreiben und Schwärzungen schaffen eine einheitliche Qualität. Schulungen sorgen dafür, dass Mitarbeitende eine Anfrage erkennen und sofort an die richtige Stelle weiterleiten. Im HR-Bereich, wo Auskunftsersuchen besonders häufig im Zusammenhang mit Kündigungen auftreten, lohnt sich ein Blick auf die Datenschutzmassnahmen im HR.
Eine Lösung wie DSMS+ kann diese Elemente an einem Ort zusammenführen: Zuständigkeiten, Bearbeitungsverzeichnis, Aufgaben, Fristen und Nachweise bleiben für die verantwortlichen Personen nachvollziehbar. Für kleinere Unternehmen genügt zunächst auch ein schlankes Register mit klaren Vorlagen. Wichtig ist nicht die Komplexität des Werkzeugs, sondern dass der Prozess im Alltag genutzt und periodisch getestet wird.
Nehmen Sie ein fiktives Auskunftsersuchen als Anlass für einen Praxistest. Ein Treuhandbüro könnte etwa durchspielen, was passiert, wenn ein ehemaliger Mandant Auskunft über alle über ihn gespeicherten Daten verlangt: Weiss der Empfang, wohin die Anfrage gehört? Kennt die koordinierende Person die relevanten Systeme, inklusive Mailarchiv und Buchhaltungssoftware? Können die Beteiligten ihre Beiträge innerhalb von zwei Wochen liefern? Aus den Antworten entsteht ein Ablauf, der bei der nächsten echten Anfrage Orientierung gibt.
Häufige Fragen
Wie schnell muss ein Unternehmen auf ein Auskunftsersuchen antworten?
Nach Art. 25 Abs. 7 DSG in der Regel innerhalb von 30 Tagen. Reicht die Zeit nicht, muss das Unternehmen die betroffene Person innerhalb dieser Frist informieren und mitteilen, bis wann die Auskunft erfolgt (Art. 18 DSV). Bei DSGVO-Bezug gilt eine Monatsfrist, die in komplexen Fällen um zwei Monate verlängert werden kann.
Darf das Unternehmen für die Auskunft Kosten verlangen?
Grundsätzlich nein, die Auskunft ist kostenlos. Nur wenn sie einen unverhältnismässigen Aufwand verursacht, darf eine Kostenbeteiligung von höchstens 300 Franken verlangt werden. Die Person muss vorher über die Höhe informiert werden und kann die Anfrage dann zurückziehen (Art. 19 DSV).
Müssen auch interne E-Mails und Notizen herausgegeben werden?
Ja, sofern sie Personendaten der anfragenden Person enthalten. Angaben zu Dritten sind vorher zu schwärzen. Eine Verweigerung ist nur möglich, wenn überwiegende Interessen Dritter oder eigene überwiegende Interessen wie Geschäftsgeheimnisse dies erfordern (Art. 26 DSG). Der Grund ist zu dokumentieren und der Person mitzuteilen.
Was passiert, wenn eine Auskunft falsch oder unvollständig ist?
Wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt, kann nach Art. 60 DSG mit einer Busse bis 250'000 Franken bestraft werden. Die Busse richtet sich gegen die verantwortliche natürliche Person. Eine saubere Dokumentation der Suche und Prüfung ist deshalb auch ein Schutz für die Mitarbeitenden, die den Prozess führen.