Flussdiagramm Betroffenenanfrage nach DSGVO: Eingang bis Abschluss

So funktioniert es

1. Benennen Sie die Bahnen nach Ihren eigenen Rollen

   Ersetzen Sie Betroffene Person, Eingangsstelle Datenschutz, Datenschutzbeauftragter, Recht sowie System- und Datenverantwortliche durch die Rollen, die es bei Ihnen wirklich gibt. Viele Organisationen haben weder einen bestellten Datenschutzbeauftragten noch eine eigene Rechtsabteilung: Führen Sie diese beiden Bahnen zu einer Datenschutzverantwortung zusammen und benennen Sie die externe Kanzlei oder den externen Datenschutzbeauftragten, den Sie für die schweren Fälle einschalten, statt eine prüfende Instanz zu zeichnen, die nie prüft. Halten Sie die Bahn der System- und Datenverantwortlichen unabhängig von Ihrer Größe getrennt, denn gesucht wird von den Menschen, die die Systeme betreiben, und nicht von dem, der den Prozess verantwortet.

2. Listen Sie jeden Kanal auf, über den eine Anfrage eingehen kann

   Eine Anfrage muss nicht schriftlich sein, muss die DSGVO nicht erwähnen und muss den Datenschutz nicht erreichen. Schreiben Sie jeden Weg auf, den sie wirklich nimmt — Support-Postfach, Kontaktformular, Social Media, Telefon, Post, Empfang, eine Führungskraft, ein Anwaltsschreiben — und geben Sie jedem Weg eine verantwortliche Person mit der Anweisung, die Anfrage am selben Tag weiterzuleiten, ohne sie selbst zu bewerten. Legen Sie dann die eine Stelle fest, an der Anfragen erfasst werden, damit das Eingangsdatum in einem System existiert und nicht im Postausgang einer einzelnen Person.

3. Schreiben Sie Ihre Identitätsregeln, bevor Sie sie brauchen

   Entscheiden Sie vorab, welche Prüfung jede Gruppe von Anfragenden bekommt: eine angemeldete Kontoinhaberin, ein ehemaliger Beschäftigter, eine dritte Person mit Vollmacht, ein Elternteil, das für ein Kind fragt. Legen Sie fest, welcher Nachweis welchen Zweifel ausräumt, wie lange Sie ihn aufbewahren und wann er gelöscht wird. Halten Sie danach Ihre Position dazu fest, ob die Anforderung eines Identitätsnachweises die Frist anhält, denn die Aufsichtsbehörden beurteilen das unterschiedlich, und die Position, die Sie einnehmen, muss einheitlich und niedergeschrieben sein statt von Anfrage zu Anfrage neu entschieden.

4. Bauen Sie das Systemverzeichnis auf, von dem die Suche lebt

   „Systeme, Backups und Auftragsverarbeiter durchsuchen“ ist nur so gut wie die Liste dahinter. Nehmen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten und machen Sie daraus eine Suchcheckliste, die jede Anwendung, jedes Postfach, jedes gemeinsame Laufwerk, jedes Ticketsystem, die Videoüberwachung, das Archiv der Gesprächsaufzeichnungen und jeden Auftragsverarbeiter benennt — mit der Angabe, wer die Suche durchführt und wie lange sie dauert. Ergänzen Sie Ihre feste Position zu Backups und Archiven. Eine Checkliste sorgt dafür, dass dieselbe Anfrage zweimal dasselbe Ergebnis bringt, und genau daran prüft eine Aufsichtsbehörde.

5. Setzen Sie den Maßstab für Schwärzung und Ausnahmen

   Hängen Sie Ihre Kriterien an „Daten Dritter und Anwaltsgeheimnis prüfen“, damit die Schwärzung nicht improvisiert wird: wann die Daten einer dritten Person offengelegt werden dürfen, wann deren Einwilligung eingeholt wird, wann eine Offenlegung auch ohne sie vertretbar ist und wie und von wem das Anwaltsgeheimnis geltend gemacht wird. Führen Sie die Ausnahmen auf, auf die Sie sich stützen — neben der DSGVO enthalten das BDSG, die Landesdatenschutzgesetze und Fachgesetze eigene Beschränkungen — und verlangen Sie, dass die Begründung zu jeder zurückgehaltenen Stelle festgehalten wird. Eine Schwärzung ohne schriftlichen Grund lässt sich Monate später von jemandem, der nicht dabei war, nicht mehr verteidigen.

6. Legen Sie interne Termine innerhalb des Monats fest und veröffentlichen Sie eine Fassung

   Rechnen Sie von der Frist rückwärts und geben Sie jedem Schritt sein eigenes Zieldatum: Suche fertig bis Tag zehn, Prüfung fertig bis Tag achtzehn, Freigabe bis Tag vierundzwanzig. Der gesetzliche Monat ist die äußere Grenze und nicht der Plan, und die Entscheidung über die Verlängerung muss fallen, solange noch Zeit bleibt, sie mitzuteilen. Gehen Sie das Diagramm danach mit der Eingangsstelle, einer systemverantwortlichen Person und derjenigen durch, die die Antworten zeichnet, korrigieren Sie es auf das, was diese tatsächlich tun, und veröffentlichen Sie diese Fassung unter Beibehaltung der älteren.

Häufig gestellte Fragen

Welche Schritte umfasst der Prozess für eine Betroffenenanfrage nach DSGVO?

Die Anfrage auf dem Kanal annehmen, auf dem sie eingeht, sie erfassen und die Monatsfrist ab dem Eingangsdatum starten, den Eingang bestätigen, die Identität der anfragenden Person verhältnismäßig prüfen, einordnen, welches Recht ausgeübt wird, prüfen, ob die Anfrage offenkundig unbegründet oder exzessiv ist, den Umfang klären und nur dann eine eng gefasste Rückfrage stellen, wenn Sie sie wirklich brauchen, jedes System, jedes Backup und jeden Auftragsverarbeiter durchsuchen, der die Daten halten könnte, das Ergebnis auf Informationen Dritter und auf das Anwaltsgeheimnis prüfen, Ausnahmen anwenden und den Grund zu jeder festhalten, entscheiden, ob die Anfrage komplex genug für die Verlängerung um zwei Monate ist, und die Person gegebenenfalls darüber informieren, die Antwort mit ihrer Begründung zusammenstellen, sie sicher an die geprüfte Person übermitteln, die Anfrage und jede getroffene Entscheidung dokumentieren und der Person mitteilen, wie sie sich beschweren kann, wenn sie unzufrieden ist. Übersprungen werden regelmäßig die Einordnung und die Schwärzungsprüfung — und genau die beiden erzeugen die Beschwerden.

Wie lange haben Sie Zeit, um auf ein Auskunftsersuchen zu antworten?

Einen Monat. Art. 12 Abs. 3 DSGVO verpflichtet den Verantwortlichen, unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen zu informieren. Das ist ein Kalendermonat und kein Zählen von Werktagen: Die Frist läuft bis zum entsprechenden Tag des Folgemonats, bis zu dessen letztem Tag, wenn es diesen Tag dort nicht gibt, und bis zum nächsten Werktag, wenn er auf ein Wochenende oder einen Feiertag fällt. Sie kann um weitere zwei Monate verlängert werden, wenn die Anfrage komplex ist oder dieselbe Person mehrere Anfragen gestellt hat — aber nur, wenn Sie die anfragende Person innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichten. Ob die Frist ruht, solange Sie auf einen Identitätsnachweis oder auf die Klärung des Umfangs warten, beurteilen die Aufsichtsbehörden unterschiedlich; halten Sie deshalb fest, welcher Position Sie folgen, und wenden Sie sie einheitlich an. In der Praxis geht die Frist selten in der Suche verloren. Sie geht in den Tagen verloren, die zwischen dem Eingang irgendwo im Unternehmen und dem Erreichen der zuständigen Stelle liegen.

Dürfen Sie eine Betroffenenanfrage ablehnen?

Manchmal, aber selten aus den Gründen, nach denen zuerst gegriffen wird. Art. 12 Abs. 5 DSGVO erlaubt es dem Verantwortlichen, bei offenkundig unbegründeten oder exzessiven Anfragen ein angemessenes Entgelt zu verlangen oder das Tätigwerden zu verweigern, und die Beweislast dafür liegt bei ihm. Weit gefasst, unbequem oder mitten in einem Streit gestellt ist nicht dasselbe wie exzessiv. Darüber hinaus sehen das BDSG, die Landesdatenschutzgesetze und einzelne Fachgesetze Beschränkungen vor, mit denen Sie bestimmtes Material zurückhalten können, statt die Anfrage insgesamt abzulehnen; und das Löschrecht aus Art. 17 DSGVO ist eingeschränkt: Absatz 3 erhält Daten, die Sie gesetzlich aufbewahren müssen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. Eine Ablehnung ist kein Schweigen. Sie müssen weiterhin innerhalb der Frist antworten, die Gründe erläutern und darauf hinweisen, dass sich die Person bei einer Aufsichtsbehörde beschweren und den Rechtsweg beschreiten kann. Dieses Diagramm zeichnet die Ablehnung deshalb als Schritt, der eine Antwort erzeugt, der neben jedem anderen Ergebnis dokumentiert wird und der eskaliert werden kann — statt eine abgelehnte Anfrage still aus dem Prozess fallen zu lassen.

Was machen Sie mit den Daten anderer Personen in der Antwort?

Ein Auskunftsersuchen ist ein Recht auf die eigenen personenbezogenen Daten und kein Anspruch auf eine Kopie jedes Dokuments, in dem die Person erwähnt wird — bei E-Mail-Verläufen, Beschwerdeakten oder Beurteilungsnotizen wird das leicht verwechselt. Art. 15 Abs. 4 DSGVO bestimmt, dass das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. In der Praxis heißt das drei Möglichkeiten für jede Information über Dritte: schwärzen, die betreffende Person um ihre Einwilligung in die Offenlegung bitten, oder beurteilen, dass die Offenlegung auch ohne Einwilligung vertretbar ist — unter Berücksichtigung dessen, worum es bei den Daten geht, ob die Person einer Verschwiegenheitspflicht unterliegt und ob sie widersprochen hat. Halten Sie fest, wofür Sie sich entschieden haben und warum. Führen Sie die Prüfung einmal am fertig zusammengestellten Bestand durch statt System für System, lassen Sie sie von einer benannten Person freigeben und bewahren Sie eine ungeschwärzte Fassung des Geprüften auf, damit die Entscheidung erklärbar bleibt, wenn sie beanstandet wird.

Worin unterscheidet sich das von einem Flussdiagramm für den Datenzugriffsantrag?

Die beiden antworten gegenüber unterschiedlichen Instanzen. Der Prozess für den Datenzugriffsantrag unter /de/templates/datenzugriffsantrag-prozess ist ein interner: Ein Beschäftigter oder ein Team bittet um Zugang zu einem Datenbestand, um die eigene Arbeit zu tun, und die Organisation entscheidet nach Zweck, Sensibilität, Rechtsgrundlage und Nutzungsbedingungen und erteilt dann eine eng gefasste, befristete Berechtigung, die sie wieder entziehen kann. Es gibt keine Frist außer der, die Sie sich selbst setzen, und Sie dürfen schlicht Nein sagen. Diese Seite ist ein gesetzliches Recht, das eine Person von außen ausübt. Die Frist kommt aus Art. 12 Abs. 3 DSGVO und nicht aus einer Service-Vereinbarung, das Ergebnis ist ein herausgegebenes Informationspaket und keine erteilte Berechtigung, und die Person auf der anderen Seite kann sich bei einer Aufsichtsbehörde beschweren, wenn Sie es falsch machen. Wenn Sie regeln, wer im Unternehmen eine Tabelle abfragen darf, nehmen Sie die interne Vorlage. Wenn jemand von außen fragt, was Sie über ihn gespeichert haben, nehmen Sie diese.