Flussdiagramm Betroffenenanfrage nach DSGVO: Eingang bis Abschluss
Flussdiagramm für die Betroffenenanfrage nach DSGVO: erfassen und Monatsfrist starten, Identität prüfen, Recht einordnen, Systeme und Auftragsverarbeiter durchsuchen, Daten Dritter schwärzen, verlängern, antworten und dokumentieren.
Was ist flussdiagramm betroffenenanfrage nach dsgvo: eingang bis abschluss?
An einer Betroffenenanfrage geht fast nie in dem Teil etwas schief, den alle üben. Der Fehler passiert vorn. Die Anfrage kommt als ein Satz am Ende einer Beschwerde-E-Mail, im Chat mit dem Support oder in einem Anruf in der Filiale, und sie liegt bei jemandem, der nicht weiß, dass mit dem Eingang eine gesetzliche Frist zu laufen begonnen hat. Bis sie den Datenschutz erreicht, ist der halbe Monat weg und die Suche hat nicht begonnen. Der zweite Fehler ist, die Anfrage als juristische Übung zu behandeln, obwohl sie überwiegend eine Such- und Schwärzungsaufgabe ist: Zeit kostet es, jedes System zu finden, das Daten der Person hält, und danach das Ergebnis auf Informationen über andere zu lesen. Der dritte Fehler versteckt sich in der Identitätsprüfung, denn eine verhältnismäßige Prüfung schützt die betroffene Person, während eine immer weiter eskalierende Forderung nach Dokumenten eine Verzögerungstaktik ist, die Aufsichtsbehörden sofort erkennen. Wer diese drei Dinge in Ordnung bringt, beantwortet die meisten Anfragen bequem innerhalb des Monats.
Dieses Diagramm zeigt den gesetzlichen Weg, den eine Person von außen geht (eine Kundin, ein ehemaliger Mitarbeiter, eine Bewerberin, jemand, der irgendwann ein Formular ausgefüllt hat), wenn sie ein Recht aus der DSGVO ausübt. Es ist nicht der interne Weg, auf dem sich Beschäftigte für ihre Arbeit Zugang zu einem Datenbestand verschaffen: Das ist eine gewöhnliche betriebliche Freigabe mit Verantwortlichem, Zweck und Nutzungsbedingung am Ende und steht unter /de/templates/datenzugriffsantrag-prozess. Es ist auch nicht der Weg zu einem System oder einem Konto (Freigabe, Funktionstrennung und Provisionierung) unter /de/templates/berechtigungsantrag-prozess. Und es ist das Spiegelbild von /de/templates/datenpanne-meldeprozess-dsgvo: Jenes Diagramm führt die Meldepflicht nach Art. 33 und 34 DSGVO auf einer 72-Stunden-Frist, wenn Sie die Kontrolle über personenbezogene Daten verloren haben, während dieses hier eine Monatsfrist führt, wenn eine Person Rechenschaft über ihre Daten verlangt. Datenschutzhinweise, Löschkonzept und Verzeichnis von Verarbeitungstätigkeiten, auf die sich dieses Diagramm stützt, sind mitgeltende Dokumente; ihre Erstellung, Freigabe und Überprüfung steht unter /de/templates/dokumentenlenkung-prozess.
Drei Dinge, die die meisten schriftlichen Verfahren offenlassen, sind hier als Kästen gezeichnet. „Identität bestätigt?“ hat drei Zweige statt zwei (Bestätigt, Nachweis fehlt, Nicht belegt), sodass die Anforderung eines Nachweises zur selben Prüfung zurückführt, statt still zu einer unbefristeten Ablage zu werden, und eine nie belegte Anfrage endet benannt bei „Geschlossen: Identität nicht belegt“, statt in einem Postfach zu verblassen. „Offenkundig unbegründet oder exzessiv?“ wird einmal, früh und offen beantwortet, weil Art. 12 Abs. 5 DSGVO die Beweislast dem Verantwortlichen auferlegt und eine Ablehnung in der letzten Woche genauso aussieht wie eine Ablehnung, weil der Monat abgelaufen war. Und „Komplex oder zahlreiche Anfragen?“ steht vor dem Zusammenstellen der Antwort und nicht danach, denn die Verlängerung um zwei Monate gibt es nur, wenn die anfragende Person innerhalb des ersten Monats mit Begründung davon erfahren hat. Alles Weitere läuft auf einem einzigen Abschlussstrang zusammen: vollständig herausgeben, schwärzen, teilweise ablehnen oder ganz ablehnen bei „Ablehnen mit Begründung und Beschwerderecht“, und die Anfrage wird trotzdem bei „Anfrage und Entscheidungen dokumentieren“ aufgeschrieben und kann trotzdem eskaliert werden, denn von einer Ablehnung, die niemand protokolliert hat, erfährt die Aufsichtsbehörde zuerst.
Was dieses Flussdiagramm abdeckt
In dieser Vorlage
- Fünf Bahnen (Betroffene Person, Eingangsstelle Datenschutz, Datenschutzbeauftragter, Recht sowie System- und Datenverantwortliche) über fünf Phasen: Eingang, Identitätsprüfung, Einordnung und Umfang, Suche und Prüfung sowie Antwort und Abschluss.
- Ein Eingang, der davon ausgeht, dass die Anfrage überall auflaufen kann: „Anfrage über beliebigen Kanal eingegangen“ führt auf „Anfrage erfassen und Frist starten“, womit das Eingangsdatum feststeht, ab dem die Frist läuft, und danach auf „Eingang bestätigen und Erwartungen klären“.
- Eine dreifache Entscheidung „Identität bestätigt?“, bei der der Nachweiszweig über „Verhältnismäßigen Identitätsnachweis anfordern“ zur selben Prüfung zurückführt und der dritte Zweig einer unbelegten Anfrage das ehrliche Ende „Geschlossen: Identität nicht belegt“ gibt.
- Die Einordnung des tatsächlich ausgeübten Rechts, danach „Offenkundig unbegründet oder exzessiv?“, früh beantwortet und mit der Beweislast beim Verantwortlichen, dessen Ja-Zweig über „Ablehnen mit Begründung und Beschwerderecht“ läuft, sowie die Prüfung „Umfang für die Suche klar genug?“, die genau eine eng gefasste Rückfrage zulässt.
- Der Strang aus Suche und Prüfung: „Systeme, Backups und Auftragsverarbeiter durchsuchen“, „Daten Dritter und Anwaltsgeheimnis prüfen“, „Ausnahmen und Ablehnungsgründe anwenden“ und die Prüfung „Komplex oder zahlreiche Anfragen?“, die auf „Um zwei Monate verlängern und begründen“ führt.
- Ein einziger Abschlussstrang, auf den auch Ablehnungen zurückkehren: „Berichtigung, Löschung oder Einschränkung?“ ergänzt „Umsetzen und jeden Empfänger informieren“, jede beantwortete Anfrage wird bei „Anfrage und Entscheidungen dokumentieren“ aufgeschrieben, und „Betroffene Person beanstandet das Ergebnis?“ trennt „Anfrage fristgerecht abgeschlossen“ von „An die Aufsichtsbehörde eskaliert“.
Wann Sie diese Vorlage verwenden sollten
- Sie schreiben oder überarbeiten ein Verfahren für Betroffenenanfragen und brauchen eine Seite, die zeigt, wer erfasst, wer die Identität prüft, wer sucht, wer schwärzt und wer die Antwort zeichnet.
- Ihre Anfragen laufen weiterhin in Support-Postfächern, auf Social-Media-Kanälen und am Empfang auf, und die Frist soll mit dem Eingang beginnen und nicht in dem Moment, in dem der Datenschutz davon erfährt.
- Sie schulen Beschäftigte mit Kundenkontakt, deren einzige Aufgabe in diesem Prozess darin besteht, eine Anfrage als solche zu erkennen und sie am selben Tag weiterzugeben.
- Sie haben eine Frist gerissen oder die Verlängerung zu spät in Anspruch genommen und wollen die Komplexitätsprüfung vor dem Zusammenstellen der Antwort platziert haben statt dahinter.
- Eine Wirtschaftsprüfung, eine Kundin oder die Aufsichtsbehörde verlangt ein dokumentiertes Verfahren, und Schwärzung und Ausnahmen sollen als Schritte sichtbar sein, für die jemand verantwortlich ist.
So funktioniert es
Benennen Sie die Bahnen nach Ihren eigenen Rollen
Ersetzen Sie Betroffene Person, Eingangsstelle Datenschutz, Datenschutzbeauftragter, Recht sowie System- und Datenverantwortliche durch die Rollen, die es bei Ihnen wirklich gibt. Viele Organisationen haben weder einen bestellten Datenschutzbeauftragten noch eine eigene Rechtsabteilung: Führen Sie diese beiden Bahnen zu einer Datenschutzverantwortung zusammen und benennen Sie die externe Kanzlei oder den externen Datenschutzbeauftragten, den Sie für die schweren Fälle einschalten, statt eine prüfende Instanz zu zeichnen, die nie prüft. Halten Sie die Bahn der System- und Datenverantwortlichen unabhängig von Ihrer Größe getrennt, denn gesucht wird von den Menschen, die die Systeme betreiben, und nicht von dem, der den Prozess verantwortet.
Listen Sie jeden Kanal auf, über den eine Anfrage eingehen kann
Eine Anfrage muss nicht schriftlich sein, muss die DSGVO nicht erwähnen und muss den Datenschutz nicht erreichen. Schreiben Sie jeden Weg auf, den sie wirklich nimmt (Support-Postfach, Kontaktformular, Social Media, Telefon, Post, Empfang, eine Führungskraft, ein Anwaltsschreiben) und geben Sie jedem Weg eine verantwortliche Person mit der Anweisung, die Anfrage am selben Tag weiterzuleiten, ohne sie selbst zu bewerten. Legen Sie dann die eine Stelle fest, an der Anfragen erfasst werden, damit das Eingangsdatum in einem System existiert und nicht im Postausgang einer einzelnen Person.
Schreiben Sie Ihre Identitätsregeln, bevor Sie sie brauchen
Entscheiden Sie vorab, welche Prüfung jede Gruppe von Anfragenden bekommt: eine angemeldete Kontoinhaberin, ein ehemaliger Beschäftigter, eine dritte Person mit Vollmacht, ein Elternteil, das für ein Kind fragt. Legen Sie fest, welcher Nachweis welchen Zweifel ausräumt, wie lange Sie ihn aufbewahren und wann er gelöscht wird. Halten Sie danach Ihre Position dazu fest, ob die Anforderung eines Identitätsnachweises die Frist anhält, denn die Aufsichtsbehörden beurteilen das unterschiedlich, und die Position, die Sie einnehmen, muss einheitlich und niedergeschrieben sein statt von Anfrage zu Anfrage neu entschieden.
Bauen Sie das Systemverzeichnis auf, von dem die Suche lebt
„Systeme, Backups und Auftragsverarbeiter durchsuchen“ ist nur so gut wie die Liste dahinter. Nehmen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten und machen Sie daraus eine Suchcheckliste, die jede Anwendung, jedes Postfach, jedes gemeinsame Laufwerk, jedes Ticketsystem, die Videoüberwachung, das Archiv der Gesprächsaufzeichnungen und jeden Auftragsverarbeiter benennt, mit der Angabe, wer die Suche durchführt und wie lange sie dauert. Ergänzen Sie Ihre feste Position zu Backups und Archiven. Eine Checkliste sorgt dafür, dass dieselbe Anfrage zweimal dasselbe Ergebnis bringt, und genau daran prüft eine Aufsichtsbehörde.
Setzen Sie den Maßstab für Schwärzung und Ausnahmen
Hängen Sie Ihre Kriterien an „Daten Dritter und Anwaltsgeheimnis prüfen“, damit die Schwärzung nicht improvisiert wird: wann die Daten einer dritten Person offengelegt werden dürfen, wann deren Einwilligung eingeholt wird, wann eine Offenlegung auch ohne sie vertretbar ist und wie und von wem das Anwaltsgeheimnis geltend gemacht wird. Führen Sie die Ausnahmen auf, auf die Sie sich stützen (neben der DSGVO enthalten das BDSG, die Landesdatenschutzgesetze und Fachgesetze eigene Beschränkungen) und verlangen Sie, dass die Begründung zu jeder zurückgehaltenen Stelle festgehalten wird. Eine Schwärzung ohne schriftlichen Grund lässt sich Monate später von jemandem, der nicht dabei war, nicht mehr verteidigen.
Legen Sie interne Termine innerhalb des Monats fest und veröffentlichen Sie eine Fassung
Rechnen Sie von der Frist rückwärts und geben Sie jedem Schritt sein eigenes Zieldatum: Suche fertig bis Tag zehn, Prüfung fertig bis Tag achtzehn, Freigabe bis Tag vierundzwanzig. Der gesetzliche Monat ist die äußere Grenze und nicht der Plan, und die Entscheidung über die Verlängerung muss fallen, solange noch Zeit bleibt, sie mitzuteilen. Gehen Sie das Diagramm danach mit der Eingangsstelle, einer systemverantwortlichen Person und derjenigen durch, die die Antworten zeichnet, korrigieren Sie es auf das, was diese tatsächlich tun, und veröffentlichen Sie diese Fassung unter Beibehaltung der älteren.
Häufig gestellte Fragen
Welche Schritte umfasst der Prozess für eine Betroffenenanfrage nach DSGVO?
Die Anfrage auf dem Kanal annehmen, auf dem sie eingeht, sie erfassen und die Monatsfrist ab dem Eingangsdatum starten, den Eingang bestätigen, die Identität der anfragenden Person verhältnismäßig prüfen, einordnen, welches Recht ausgeübt wird, prüfen, ob die Anfrage offenkundig unbegründet oder exzessiv ist, den Umfang klären und nur dann eine eng gefasste Rückfrage stellen, wenn Sie sie wirklich brauchen, jedes System, jedes Backup und jeden Auftragsverarbeiter durchsuchen, der die Daten halten könnte, das Ergebnis auf Informationen Dritter und auf das Anwaltsgeheimnis prüfen, Ausnahmen anwenden und den Grund zu jeder festhalten, entscheiden, ob die Anfrage komplex genug für die Verlängerung um zwei Monate ist, und die Person gegebenenfalls darüber informieren, die Antwort mit ihrer Begründung zusammenstellen, sie sicher an die geprüfte Person übermitteln, die Anfrage und jede getroffene Entscheidung dokumentieren und der Person mitteilen, wie sie sich beschweren kann, wenn sie unzufrieden ist. Übersprungen werden regelmäßig die Einordnung und die Schwärzungsprüfung, und genau die beiden erzeugen die Beschwerden.
Wie lange haben Sie Zeit, um auf ein Auskunftsersuchen zu antworten?
Einen Monat. Art. 12 Abs. 3 DSGVO verpflichtet den Verantwortlichen, unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen zu informieren. Das ist ein Kalendermonat und kein Zählen von Werktagen: Die Frist läuft bis zum entsprechenden Tag des Folgemonats, bis zu dessen letztem Tag, wenn es diesen Tag dort nicht gibt, und bis zum nächsten Werktag, wenn er auf ein Wochenende oder einen Feiertag fällt. Sie kann um weitere zwei Monate verlängert werden, wenn die Anfrage komplex ist oder dieselbe Person mehrere Anfragen gestellt hat, aber nur, wenn Sie die anfragende Person innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichten. Ob die Frist ruht, solange Sie auf einen Identitätsnachweis oder auf die Klärung des Umfangs warten, beurteilen die Aufsichtsbehörden unterschiedlich; halten Sie deshalb fest, welcher Position Sie folgen, und wenden Sie sie einheitlich an. In der Praxis geht die Frist selten in der Suche verloren. Sie geht in den Tagen verloren, die zwischen dem Eingang irgendwo im Unternehmen und dem Erreichen der zuständigen Stelle liegen.
Dürfen Sie eine Betroffenenanfrage ablehnen?
Manchmal, aber selten aus den Gründen, nach denen zuerst gegriffen wird. Art. 12 Abs. 5 DSGVO erlaubt es dem Verantwortlichen, bei offenkundig unbegründeten oder exzessiven Anfragen ein angemessenes Entgelt zu verlangen oder das Tätigwerden zu verweigern, und die Beweislast dafür liegt bei ihm. Weit gefasst, unbequem oder mitten in einem Streit gestellt ist nicht dasselbe wie exzessiv. Darüber hinaus sehen das BDSG, die Landesdatenschutzgesetze und einzelne Fachgesetze Beschränkungen vor, mit denen Sie bestimmtes Material zurückhalten können, statt die Anfrage insgesamt abzulehnen; und das Löschrecht aus Art. 17 DSGVO ist eingeschränkt: Absatz 3 erhält Daten, die Sie gesetzlich aufbewahren müssen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. Eine Ablehnung ist kein Schweigen. Sie müssen weiterhin innerhalb der Frist antworten, die Gründe erläutern und darauf hinweisen, dass sich die Person bei einer Aufsichtsbehörde beschweren und den Rechtsweg beschreiten kann. Dieses Diagramm zeichnet die Ablehnung deshalb als Schritt, der eine Antwort erzeugt, der neben jedem anderen Ergebnis dokumentiert wird und der eskaliert werden kann, statt eine abgelehnte Anfrage still aus dem Prozess fallen zu lassen.
Was machen Sie mit den Daten anderer Personen in der Antwort?
Ein Auskunftsersuchen ist ein Recht auf die eigenen personenbezogenen Daten und kein Anspruch auf eine Kopie jedes Dokuments, in dem die Person erwähnt wird. Bei E-Mail-Verläufen, Beschwerdeakten oder Beurteilungsnotizen wird das leicht verwechselt. Art. 15 Abs. 4 DSGVO bestimmt, dass das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. In der Praxis heißt das drei Möglichkeiten für jede Information über Dritte: schwärzen, die betreffende Person um ihre Einwilligung in die Offenlegung bitten, oder beurteilen, dass die Offenlegung auch ohne Einwilligung vertretbar ist, unter Berücksichtigung dessen, worum es bei den Daten geht, ob die Person einer Verschwiegenheitspflicht unterliegt und ob sie widersprochen hat. Halten Sie fest, wofür Sie sich entschieden haben und warum. Führen Sie die Prüfung einmal am fertig zusammengestellten Bestand durch statt System für System, lassen Sie sie von einer benannten Person freigeben und bewahren Sie eine ungeschwärzte Fassung des Geprüften auf, damit die Entscheidung erklärbar bleibt, wenn sie beanstandet wird.
Worin unterscheidet sich das von einem Flussdiagramm für den Datenzugriffsantrag?
Die beiden antworten gegenüber unterschiedlichen Instanzen. Der Prozess für den Datenzugriffsantrag unter /de/templates/datenzugriffsantrag-prozess ist ein interner: Ein Beschäftigter oder ein Team bittet um Zugang zu einem Datenbestand, um die eigene Arbeit zu tun, und die Organisation entscheidet nach Zweck, Sensibilität, Rechtsgrundlage und Nutzungsbedingungen und erteilt dann eine eng gefasste, befristete Berechtigung, die sie wieder entziehen kann. Es gibt keine Frist außer der, die Sie sich selbst setzen, und Sie dürfen schlicht Nein sagen. Diese Seite ist ein gesetzliches Recht, das eine Person von außen ausübt. Die Frist kommt aus Art. 12 Abs. 3 DSGVO und nicht aus einer Service-Vereinbarung, das Ergebnis ist ein herausgegebenes Informationspaket und keine erteilte Berechtigung, und die Person auf der anderen Seite kann sich bei einer Aufsichtsbehörde beschweren, wenn Sie es falsch machen. Wenn Sie regeln, wer im Unternehmen eine Tabelle abfragen darf, nehmen Sie die interne Vorlage. Wenn jemand von außen fragt, was Sie über ihn gespeichert haben, nehmen Sie diese.