DSGVO: Identitätsprüfung bei elektronischen Auskunftsersuchen

Die DSGVO räumt den Betroffenen in Artikel 15 ein umfassendes und eingehendes Auskunftsrecht über die verarbeiteten personenbezogenen Daten ein. In der heutigen Zeit können derartige Anfragen nicht nur per Post eingehen. Ebenso bestehen die Möglichkeiten einer telefonischen Kontaktaufnahme oder Korrespondenz per E-Mail, also in elektronischer Form, zu solchen Auskunftsbegehren.

Mit all diesen Möglichkeiten geht aber auch eine Problematik einher: die Feststellung der Identität des Betroffenen. Per Telefon und E-Mail können Identitäten nur unter erschwerten Bedingungen bis gar nicht festgestellt werden.

Die Methoden einer Identifizierung werden beispielhaft wie folgt dargestellt:

• Abfrage von zusätzlichen Informationen, z. B. Geburtsdatum, Anschrift, usw.
• Übermittlung eines Ausweisdokuments (Schwärzung gewisser Angaben, Übermittlung nur über gesicherte Wege [z. B. verschlüsselter E-Mail, sichere Online-Zugänge, usw.])
• Identifizierung über eIDAS-Dienst, z. B. De-Mail
• Post-/Video-Ident-Identifizierung
• Identifizierung über Nutzerkonto

Der LfDI weist daraufhin, dass die Verantwortlichen selbst einen passenden Weg zur Identifizierung der Betroffenen finden und wählen müssen, dies vor allem unter dem Gesichtspunkt der Wahrung der Betroffenenrechte und unter Abwägung des Risikos für die Rechte und Freiheiten der betroffenen Personen.

Die entsprechende Auskunft an den Betroffenen selbst kann z. B. per Brief, verschlüsselter E-Mail (Ende-zu-Ende-Verschlüsselung), De-Mail oder Nutzerkonto erfolgen.

Der LfDi gibt den Verantwortlichen nützliche Hinweise, wie Auskunftsersuchen auch auf elektronischem Wege erfolgen können. Die Verantwortlichen sollten hierbei entsprechende Verfahren entwickeln und deren Abläufe dokumentieren, implementieren und einer ständigen Prüfung unterziehen.