Die Datenschutzbehörde (DPC) hat auf Ihrer Website Empfehlungen veröffentlicht, welche Anforderungen an die Vertraulichkeit angemessen sind, wenn ein Unternehmen durch jemanden kontaktiert werden, der seinerseits angeblich für einen Betroffenen spricht. Als typischen Fall stellt die DPC beispielsweise die Kontaktaufnahme durch einen Dolmetscher vor und beschäftigt sich dabei mit der Frage, wie schwer es ein Unternehmen diesem Dritten machen darf, relevante Kundeninformationen zu erhalten.
Dabei stellt die DPC zunächst klar, dass jeder Verantwortliche personenbezogene Daten so zu verarbeiten hat, dass deren Schutz ausreichend sichergestellt ist. Dies umfasst je nach konkretem Datenbestand und Gefährdungsrisiko gezielte technische und organisatorische Maßnahmen, also beispielsweise ausreichend sichere Prozesse für die Erteilung von Auskünften. Das bedeutet eben: Daten dürften nicht an jeden weitergegeben werden, vor der Erteilung von Auskünften ist ausreichend sicher zu prüfen, wer sich da meldet und Auskunft verlangt.
Gleichwohl, so die DPC, dürfen die Anforderungen an die Vertraulichkeit auch nicht so hoch liegen, dass sie beispielsweise solche Personen benachteiligen, die auf die Hilfe Dritter angewiesen sind – also beispielsweise aufgrund einer Sprachbarriere oder körperlicher Einschränkungen. Eine schriftliche Vollmacht des Betroffenen zu verlangen kann deshalb je nach Situation eine unangemessene Zugangsschwelle darstellen.
Die DPC weist deshalb ausdrücklich darauf hin, dass das Datenschutzrecht keineswegs systematisch Auskünfte an Personen untersagt, die behaupten, im Auftrag der eigentlich Betroffenen zu handeln. Es läge an den Verantwortlichen, unter konkreter Einbeziehung der Umstände – also der Art der verarbeiteten Daten, der Anfragesituation und der potentiellen Risiken für einen Datenmissbrauch – festzulegen, welche Art von Überprüfung in einem solchen Fall angemessen ist.