Ein Schreiben der Polizei landet im Postfach: Für laufende Ermittlungen werden personenbezogene Daten angefordert. Doch bedeutet eine offizielle Anfrage automatisch, dass Unternehmen die Informationen herausgeben müssen?

Nein. Auch bei polizeilichen Auskunftsersuchen gelten datenschutzrechtliche Vorgaben. Wer Daten vorschnell weitergibt, riskiert selbst einen Datenschutzverstoß.

Polizeiliche Anfrage ist nicht gleich Herausgabepflicht

Die Weitergabe personenbezogener Daten an Ermittlungsbehörden gilt als Datenverarbeitung im Sinne der DSGVO. Unternehmen benötigen dafür eine eigene Rechtsgrundlage.

Dabei müssen zwei Fragen unterschieden werden:

1️⃣ Darf die Polizei die betreffenden Daten anfordern?

2️⃣ Darf oder muss das Unternehmen diese Daten tatsächlich herausgeben?

Eine rechtliche Verpflichtung kann sich beispielsweise aus Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit einer entsprechenden gesetzlichen Vorschrift ergeben.

Auch § 24 BDSG kann unter bestimmten Voraussetzungen eine Datenweitergabe zur Strafverfolgung ermöglichen. Die Vorschrift begründet jedoch keine automatische Pflicht zur Herausgabe.

Was Unternehmen bei einer Anfrage prüfen sollten

Bevor personenbezogene Daten übermittelt werden, sollten Verantwortliche das Auskunftsersuchen sorgfältig prüfen.

1️⃣ Ist die Anfrage nachvollziehbar?

Idealerweise liegt sie schriftlich vor und enthält Angaben zur anfragenden Behörde, zum Aktenzeichen, zum Ermittlungszweck, zur Rechtsgrundlage und zu den konkret benötigten Daten.

2️⃣ Ist die Anfrage tatsächlich echt?

Ein Behördenlogo oder eine offizielle E-Mail-Signatur allein beweist noch nicht, dass die Anfrage authentisch ist. Bei Zweifeln empfiehlt sich eine Rückfrage über eine unabhängig recherchierte Telefonnummer der Behörde.

3️⃣ Welche Daten dürfen herausgegeben werden?

Auch bei einer rechtmäßigen Anfrage gilt der Grundsatz der Datenminimierung. Unternehmen sollten nur diejenigen personenbezogenen Daten übermitteln, die von der Anfrage erfasst und für den angegebenen Zweck erforderlich sind.

Pauschale Formulierungen wie „alle weiteren relevanten Informationen“ rechtfertigen nicht automatisch eine umfassende Datenweitergabe.

Dokumentation und Informationspflichten nicht vergessen

Unternehmen sollten festhalten, wann eine Anfrage eingegangen ist, welche Rechtsgrundlage geprüft wurde und welche Daten tatsächlich übermittelt wurden.

Zusätzlich stellt sich die Frage, ob betroffene Personen über die Weitergabe informiert werden müssen. Gerade bei laufenden Ermittlungen können gesetzliche Ausnahmen greifen. Ob diese Voraussetzungen vorliegen, muss jedoch im Einzelfall geprüft werden.

Fazit: Erst prüfen, dann herausgeben

Ein Auskunftsersuchen der Polizei sollte weder grundsätzlich abgelehnt noch ungeprüft erfüllt werden.

Für Unternehmen bedeutet das: Rechtsgrundlage prüfen, Identität verifizieren, Datenumfang begrenzen und die Entscheidung dokumentieren.

Klare interne Zuständigkeiten und ein festgelegter Prüfprozess helfen dabei, Ermittlungsbehörden rechtssicher zu unterstützen und gleichzeitig die personenbezogenen Daten von Kunden und Beschäftigten zu schützen.