Der Fristbeginn des Art. 12 Abs. 3 DSGVO bei begründeten Identitätszweifeln

 

Die Datenschutz-Grundverordnung (DSGVO) gewährt betroffenen Personen umfassende Rechte im Hinblick auf ihre personenbezogenen Daten. Diese Rechte sind jedoch an bestimmte Verfahrensvoraussetzungen geknüpft, insbesondere an die zweifelsfreie Identifizierung der antragstellenden Person. Die Frage, wann genau die einmonatige Bearbeitungsfrist des Art. 12 Abs. 3 DSGVO beginnt, wenn Zweifel an der Identität des Antragstellers bestehen, ist für die datenschutzrechtliche Praxis von erheblicher Bedeutung.

 

Rechtlicher Rahmen

Gemäß Art. 12 Abs. 3 DSGVO muss der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen "unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags" zur Verfügung stellen.

 

Diese Frist kann unter bestimmten Umständen um weitere zwei Monate verlängert werden. Doch was geschieht, wenn berechtigte Zweifel an der Identität der anfragenden Person bestehen?

 

Art. 12 Abs. 6 DSGVO gibt dem Verantwortlichen das Recht, bei begründeten Zweifeln an der Identität der antragstellenden Person zusätzliche Informationen zur Identitätsbestätigung anzufordern.

 

Diese Regelung dient dem Schutz personenbezogener Daten vor unbefugter Offenlegung und ist somit ein wesentlicher Bestandteil des Datenschutzrechts.

 

Fristbeginn bei Identitätszweifeln

Aus der jüngsten Praxis der Datenschutzbehörden ergibt sich eine klare Position zum Fristbeginn:

 

Die einmonatige Frist des Art. 12 Abs. 3 DSGVO beginnt erst dann zu laufen, wenn die Identität der antragstellenden Person eindeutig festgestellt wurde. Die Berliner Datenschutzbehörde hat in einem konkreten Fall festgestellt, dass die Monatsfrist als "pausiert" angesehen werden kann, solange die betroffene Person auf eine Authentifizierungsanfrage nicht antwortet. Dies wurde im Rahmen eines Kooperationsverfahrens nach Artikel 60 DSGVO mit der schwedischen Datenschutzbehörde dokumentiert.

 

Daraus lässt sich ableiten, dass erst dann, wenn die Identität eindeutig feststeht, der Anspruch auf Auskunft im Sinne des Art. 15 DSGVO entsteht und die Frist zu laufen beginnt. Vor der Identifizierung bzw. der Identifizierbarkeit der anfragenden Person ist der Antrag nicht ordnungsgemäß gestellt5. Die Zeit, die für die Identitätsprüfung benötigt wird, wird somit nicht auf die Monatsfrist angerechnet.

 

Anforderungen an die Prüfung der Identität

Die Identitätsprüfung darf jedoch nicht willkürlich oder übermäßig sein. Der Verantwortliche muss seine Zweifel an der Identität des Antragstellers begründen können. Pauschale Behauptungen von Zweifeln genügen nicht, um einen Antrag abzulehnen.

 

Die Zweifel müssen plausibel und einzelfallbezogen dargelegt werden können, was auch der Rechenschaftspflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO entspricht.

Erwägungsgrund 64 Satz 1 DSGVO verpflichtet den Verantwortlichen, alle vertretbaren Mittel zur Identifikation einer Auskunft suchenden Person zu nutzen3. Dies impliziert eine Pflicht, Identitätszweifel mithilfe vorhandener Informationen möglichst selbst zu beseitigen, bevor zusätzliche Identitätsnachweise angefordert werden.

 

Praktische Auswirkungen

In der Praxis bedeutet dies, dass ein Verantwortlicher, der begründete Zweifel an der Identität eines Antragstellers hat, die Person zur Identitätsbestätigung auffordern kann, ohne dass die Monatsfrist bereits läuft. Die betroffene Person muss dieser Aufforderung nachkommen, damit ihr Antrag als ordnungsgemäß gestellt gilt und die Bearbeitungsfrist beginnt.

 

Dies wurde auch durch eine Entscheidung des Bundesverwaltungsgerichts bestätigt, welches urteilte, dass der Anspruch auf Auskunft erst dann entsteht, wenn die Identität eindeutig feststeht. Davor gilt der Antrag als nicht ordnungsgemäß gestellt, und die Frist beginnt nicht zu laufen.

 

Verhältnismäßigkeit der Prüfung

Die Identitätsprüfung muss verhältnismäßig sein.

 

Es gibt verschiedene akzeptable Methoden zur Identitätsüberprüfung, die je nach Kontext und Sensibilität der Daten angewendet werden können. Eine qualifizierte elektronische Signatur kann beispielsweise ein geeignetes Mittel zur Identifikation sein, da sie eine feste Personenbindung umfasst5.

 

Der Verantwortliche sollte der antragstellenden Person nach Möglichkeit verschiedene Optionen zur Identifikation anbieten. Dies entspricht dem Grundsatz, dass die betroffene Person grundsätzlich die freie Wahl der Kommunikationsmittel hat (Art. 12 Abs. 1 Satz 3 und Abs. 3 Satz 4 DSGVO).

 

Konsequenzen der Nichtidentifizierung

Kann die Identität des Antragstellers trotz angemessener Bemühungen nicht festgestellt werden, darf der Verantwortliche die Bearbeitung des Antrags verweigern. Dies ergibt sich aus Art. 12 Abs. 2 Satz 2 und Art. 11 Abs. 2 DSGVO, wonach der Verantwortliche sich weigern kann, einem Antrag nachzukommen, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

 

Der Verantwortliche muss die betroffene Person jedoch ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe für die Nichtbearbeitung informieren. Ist der Antragsteller mit der Weigerung nicht einverstanden, kann er sich an die zuständige Datenschutz-Aufsichtsbehörde wenden (Art. 77 Abs. 1 DSGVO).

 

Die Klarstellung, dass die Monatsfrist erst nach erfolgreicher Identifikation zu laufen beginnt, bietet Verantwortlichen rechtliche Sicherheit bei der Bearbeitung von Betroffenenanfragen. Gleichzeitig wahrt sie die Rechte der betroffenen Personen, da die Identitätsprüfung nicht als Vorwand für übermäßige Verzögerungen genutzt werden darf.

Für die praktische Umsetzung ist es ratsam, ein strukturiertes Verfahren für die Identitätsprüfung zu etablieren und dieses transparent zu kommunizieren. Die Anforderungen an die Identitätsprüfung sollten dabei dem Risiko angemessen sein, das mit der unbefugten Offenlegung der angefragten Informationen verbunden wäre.

 

Fristbeginn bei Zweifeln

Zusammenfassend lässt sich festhalten, dass die einmonatige Frist des Art. 12 Abs. 3 DSGVO bei begründeten Zweifeln an der Identität der antragstellenden Person erst dann zu laufen beginnt, wenn die Identität zweifelsfrei festgestellt wurde.

 

Die für die Identitätsprüfung benötigte Zeit wird nicht auf die Frist angerechnet, sondern die Frist wird während dieser Zeit als pausiert betrachtet oder hat noch gar nicht begonnen. Dies stellt einen angemessenen Ausgleich zwischen dem Recht auf Datenschutz und dem Recht auf Zugang zu den eigenen Daten dar und entspricht der aktuellen Auslegung durch die Datenschutzbehörden.