ich frage mich gerade, wie mit folgendem Beispiel umgegangen werden kann bzw. wie Ihr damit umgehen würdet.
Person A ist Kunde bei Unternehmen U.
Als die Daten erfasst wurden, hat A bei seinen Kontaktdaten offensichtlich die E-Mail von Person B angegeben: “B@Nachname.de”
Soweit, so gut. Gehen wir davon aus, dass A das mit B abgesprochen hatte.
Nun meldet sich B mit einem Auskunftsgesuch nach Art. 15 und teilt folgende persönliche Daten zur Identifizierung mit:
Vorname Nachname
Anschrift
Geburtsdatum
E-Mailadresse
Welche Auskünfte kann bzw. muss das Unternehmen U der Person B mitteilen?
Meines Erachtens muss das Unternehmen der Person B mitteilen, dass es an personenbezogenen Daten von B die E-Mailadresse gespeichert hat. Oder ist diese Information schon zu viel, weil diese E-Mailadresse ja zum Datensatz von A gehört?
Die Anschrift, die B mitgeteilt hat, ist zwar identisch, mit der Anschrift im Datensatz von Kunde A. Hier stellt sich dieselbe Frage, da die Anschrift zu den personenbezogenen Daten von Kunde A gehört. Und allein aus der Anschrift können keinen Rückschlüsse auf B gezogen werden, Aus der E-Mail “B@Nachname.de” hingegen schon.
Die Anschrift ist von U meiner Meinung nach nicht mitzuteilen.
Als Quelle darf U meiner Meinung nach nur eine allgemeine Auskunft geben und nicht den Namen des Kunden A als Quelle nennen.
@dedsb Ich würde Name, Anschrit, Geburtsdatum negieren, mit Hinweis, dass diese werden nur im Rahmen der Anfrage verarbeitet und für Zeitraum x gespeichert werden. Verarbeitung E-Mail ja, allerdings in einem anderen Kundendatensatz, bei dem euch die Mailadresse ??mit DOI bestätigt?? wurde.
Optimalerweise habt ihr einen DOI-Prozess für die Erhebung der Mailadresse, heißt dann diese wurde von dem anderen Kunden bestätigt (weil ggf. ein gemeinsames Postfach vorliegt).
Wenn angenommen wird, dass eine gemeinsame Telefonnummer für A und B existiert, die im Unternehmen als Notfallkontakt zu A gespeichert wird, so würde dies bei einer Auskunft an A entsprechend mitgeteilt werden, aber nicht an B, weil keine Zuordnung der Nummer zu B existiert.
Beim Fall einer personalisierten E-Mail-Adresse ist es etwas verzwickter, allerdings würde ich hier auch erst einmal als Bezugsdatum für die Auskunft den Namen sehen und nicht die E-Mail-Adresse.
D.h. bei Auskunftsersuchen von A wird seine angegebene E-Mail mit beauskunftet, bei Auskunftsersuchen von B nicht, wenn von B keine (weiteren) Angaben vorliegen.
Ich würde die vorhandenen Daten komplett mitteilen.
Die Quelle kann nur mitgeteilt werden, wenn der Betroffene einwilligt. Behörden machen das analog dem Drittbeteiligungsverfahren nach dem IFG Bund.
