Man stelle sich folgende Situation vor. Eine Person möchte wissen, welche Daten ein Unternehmen über sie gespeichert hat, und stellt einen Auskunftsantrag nach Art. 15 DSGVO. Zurück kommt ein PDF von mehreren Dutzend Seiten: Verarbeitungshistorien, Empfängerlisten, ein Scoring-Wert, dazu Abkürzungen ohne Erläuterung. Die Person ruft an und bittet darum, dass ihr die Auskunft erklärt wird. Das Unternehmen verweist auf sein Standardverfahren: Auskunft erfolge ausschließlich schriftlich.
Ob das zulässig ist, hängt an einem einzigen Wort. Art. 12 Abs. 1 S. 3 DSGVO bestimmt, dass die Information mündlich erteilt werden „kann“, falls die betroffene Person dies verlangt und ihre Identität anderweitig nachgewiesen ist. Zwei Lesarten stehen sich gegenüber. Nach der einen ist das eine Befugnis des Unternehmens: Es darf mündlich informieren, muss aber nicht. Nach der anderen ist es ein Anspruch der betroffenen Person: Liegen Verlangen und Identitätsnachweis vor, ist mündlich Auskunft zu erteilen.
Mein neuer Aufsatz (erscheint in ZD) ordnet den Streitstand und legt die Norm nach Wortlaut, Systematik, Entstehungsgeschichte und Zweck aus. Das Ergebnis: Der Wortlaut trägt beide Lesarten. Aufbau und Zweck der Vorschrift sprechen jedoch für die zweite. Art. 12 DSGVO steht am Beginn des Kapitels über die Rechte der betroffenen Person und soll deren Ausübung erleichtern; ein freies Formwahlrecht des Verantwortlichen kennt die Vorschrift an keiner Stelle.
Die Pflicht ist dabei begrenzt. Geschuldet ist weder eine Hotline noch ein unbegrenztes Erläuterungsgespräch, und Kopien der Daten lassen sich mündlich ohnehin kaum übermitteln. Identitätsprüfung, exzessive Anträge und Rechte Dritter bleiben Schranken, das Gespräch ist zu dokumentieren. Eine Tonaufnahme oder eine automatisierte Ansage genügt nicht, weil ihr genau das fehlt, worauf es ankommt: die Rückfragemöglichkeit und somit das tatsächliche Verständnis.
Die praktische Bedeutung liegt darin, dass die Auskunft Vorstufe der übrigen Betroffenenrechte ist. Wer die erhaltenen Informationen nicht einordnen kann, wird Berichtigung, Löschung oder Schadensersatz kaum sinnvoll geltend machen. Das betrifft besonders Personen, für die ein Datenexport keine nutzbare Form der Information ist. Für Unternehmen wiederum ist ein vorbereitetes Gespräch häufig der kürzere Weg als mehrere Schriftwechsel und eine anschließende Aufsichtsbeschwerde.
Praktisch sehen das viele Unternehmen kritisch – man habe „keine Zeit für sowas“. Allerdings sollte man den Kontext bedenken: Wenn ein Kunde (oder anderer Stakeholder) Informationen möchte, dann häufig begründet; oft, weil etwas nicht richtig lief. Es sollte also auch im Interesse eines Unternehmens sein, dieses Problem zu lösen. Zur Not über ein Telefonat.
Übrigens sehen die Aufsichtsbehörden das ebenfalls unterschiedlich. Sachsen, Bayern und Bund haben sich dazu entsprechend geäußert.