PDF auswählen
Was die DSGVO verlangt
Rechtsgrundlage. Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, welche Daten über sie verarbeitet werden — und auf eine Kopie dieser Daten. Das trifft jedes Unternehmen mit Personal oder Kunden: Ein ehemaliger Mitarbeiter, ein unzufriedener Kunde, ein Bewerber kann die Auskunft verlangen, formlos und ohne Begründung.
Frist. Die Auskunft ist unverzüglich zu erteilen, spätestens innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3). Bei vielen oder komplexen Anträgen darf die Frist um zwei weitere Monate verlängert werden — die Verlängerung muss aber innerhalb des ersten Monats mitgeteilt und begründet werden.
Grenze. Das Recht auf Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4). Eine E-Mail, in der der Antragsteller erwähnt wird, enthält auch Absender, Empfänger, andere genannte Personen. Deren Daten sind vor der Herausgabe zu entfernen. Das ist der Grund, warum eine Auskunft praktisch immer Schwärzung bedeutet.
Das hier beschreibt die übliche Praxis, keine Rechtsberatung für den Einzelfall — welche Passagen im konkreten Vorgang zu schwärzen sind, entscheidet ihr, gegebenenfalls mit eurem Datenschutzbeauftragten.
Warum ein Rechteck hier zur Datenpanne wird
Ein schwarzes Rechteck über einem Namen verdeckt ihn nur. Der Text steht weiter in der Datei, markierbar und kopierbar — wie das geht, zeigt der Zwanzig-Sekunden-Test auf Ein schwarzes Rechteck schwärzt nicht. Bei einer DSGVO-Auskunft hat das eine besondere Konsequenz: Der Empfänger ist meist jemand, der dem Unternehmen kritisch gegenübersteht, und er erhält Daten Dritter, die er nicht bekommen durfte.
Das ist eine Verletzung des Schutzes personenbezogener Daten. Sie ist der Aufsichtsbehörde binnen 72 Stunden zu melden (Art. 33), bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34). Aus einer Pflichtaufgabe wird so ein meldepflichtiger Vorfall — verursacht durch ein Werkzeug, das die Schwärzung nur vorgetäuscht hat.
WipePDF entfernt den Text aus der Seite und baut sie mit der schwarzen Fläche als Bild neu auf. Danach ist an dieser Stelle nichts mehr, was kopiert werden könnte. Den Rest der Seite erkennt WipePDF per Texterkennung neu, damit die Auskunft durchsuchbar bleibt.
Was in einer Auskunft typischerweise zu schwärzen ist
- Namen und E-Mail-Adressen anderer Personen in E-Mails, Chatverläufen, Protokollen und Notizen — Kollegen, Vorgesetzte, Kunden, Lieferanten.
- Personalnummern, Kundennummern, Aktenzeichen, die auf Dritte verweisen.
- Bewertungen und Äußerungen über Dritte, etwa in Leistungsbeurteilungen oder Besprechungsprotokollen.
- Geschäftsgeheimnisse, soweit sie nicht die betroffene Person selbst betreffen.
- Interne Rechtsberatung zum Vorgang, soweit sie geschützt ist.
Nicht zu schwärzen sind die Daten der betroffenen Person selbst — auch unangenehme. Eine Auskunft, in der die eigene Beurteilung geschwärzt ist, ist keine Auskunft.
Hundert Seiten in drei Tagen
Eine Auskunft über einen mehrjährigen Mitarbeiter umfasst leicht hundert Seiten E-Mails, in denen dieselben zwanzig Kollegennamen immer wieder vorkommen. Von Hand jedes Vorkommen zu finden, ist der Punkt, an dem Auskünfte unvollständig werden.
WipePDF sucht Muster über das ganze Dokument — einen Namen, eine E-Mail-Domain, eine Personalnummer — und markiert alle Treffer auf einmal; du gehst sie durch und bestätigst. Mit WipePDF Pro speicherst du diese Muster als Set und wendest sie auf alle Dateien eines Vorgangs gleichzeitig an — bei der nächsten Auskunft ist die Liste schon da.
Häufige Fragen
Was muss in einer DSGVO-Auskunft geschwärzt werden?
Alles, was andere Personen identifiziert und nicht die betroffene Person selbst betrifft: Namen, E-Mail-Adressen, Personalnummern, Äußerungen über Dritte. Grundlage ist Art. 15 Abs. 4 DSGVO — das Recht auf Kopie darf die Rechte anderer nicht beeinträchtigen.
Welche Frist gilt für die Auskunft?
Ein Monat ab Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Bei komplexen oder vielen Anträgen um bis zu zwei Monate verlängerbar — die Verlängerung muss innerhalb des ersten Monats mitgeteilt und begründet werden.
Genügt ein schwarzes Rechteck in der Auskunft?
Nein. Der Text bleibt darunter kopierbar, und der Empfänger erhält damit Daten Dritter. Das ist eine Datenschutzverletzung, die binnen 72 Stunden an die Aufsichtsbehörde zu melden ist (Art. 33 DSGVO). Echtes Schwärzen entfernt den Text aus der Datei.
Was, wenn die Auskunft hundert Seiten hat?
Mit der Mustersuche findest du jeden Namen und jede Nummer im ganzen Dokument auf einmal und bestätigst die Treffer, statt Seite für Seite zu lesen. WipePDF Pro speichert die Muster als Set und schwärzt mehrere Dateien eines Vorgangs in einem Durchgang.