Sie müssen ihm mitteilen, ob Sie Daten über ihn verarbeiten, und wenn ja: welche, zu welchem Zweck, woher sie kommen, an wen sie weitergegeben werden, wie lange sie gespeichert bleiben und welche Rechte er hat. Dazu kommt auf Verlangen eine Kopie der Daten. Das steht in Art. 15 DSGVO, und es gilt unabhängig davon, ob der Anfragende Kunde, Bewerber, Beschäftigter, Lieferant oder nur Websitebesucher war.
Die Anfrage ist an keine Form gebunden. Sie kann per Mail, Brief, Telefon oder im Gespräch kommen, sie muss die DSGVO nicht erwähnen und kein Formular verwenden. „Schicken Sie mir mal alles, was Sie über mich haben“ ist ein vollständiges Auskunftsersuchen. Deshalb gehört in die Unterweisung vor allem eins: Solche Sätze werden sofort an die zuständige Stelle weitergegeben, nicht am Telefon beantwortet und nicht liegengelassen.
Praktisch brauchen Sie dafür zwei Dinge, die vor der ersten Anfrage da sein müssen. Erstens eine Liste, wo im Haus personenbezogene Daten liegen — Kundensystem, Buchhaltung, Mailpostfächer, Papierakten, Zeiterfassung, Telefonanlage, Videoanlage. Das ist nichts anderes als Ihr Verzeichnis der Verarbeitungstätigkeiten. Zweitens einen festen Ablauf mit einer verantwortlichen Person. Ohne beides wird aus einer Monatsfrist sehr schnell eine Fristversäumnis.
Wenn Zweifel an der Identität bestehen, dürfen Sie zusätzliche Informationen zur Bestätigung anfordern (Art. 12 Abs. 6 DSGVO). Das ist kein Mittel zur Verzögerung: Zulässig ist, was zur Identifizierung erforderlich ist — eine Ausweiskopie mit allen Angaben ist es in der Regel nicht, die Abfrage von Kundennummer und hinterlegten Daten meist schon.
Fundstelle: Art. 12 Abs. 6, Art. 15 DSGVO