Und für alle die es genauer wissen möchten …

Die DSGVO regelt ganz klar, welche Rechte und Pflichten die Unternehmen und Be­trof­fenen haben. Die Rechte der Be­trof­fenen sollten in jeder Daten­schutz­erklärung enthalten sein, um Miss­verständ­nissen bei Anfragenden zu redu­zieren.
Solange Sie keine Anfragen zu Daten­änderungen oder Daten­löschungen erhalten, wird das Thema recht häufig zu ober­flächlich behandelt. Doch genau hier ent­scheidet sich, ob Sie bei einer Betrof­fenen­anfrage professionell agieren oder erst Daten suchen müssen – oder gar nicht erst finden.

Grundsätzlich sind sensibilisierte Mitar­beiter ein erster richtiger Schritt, da sie verstehen, welche Pflichten ein Unter­neh­men bei Datenschutz­anfragen hat. Daher sind Schulungen zum Aufbau eines Datenschutz-Grund­ver­ständ­nisses ein gutes Mittel, um auch einfach Fragen zu klären.
Hier ein paar Beispielfragen:

Wer ist Betroffener?

Ein Betroffener ist jede natürliche Person, die mit den von Ihnen verarbeiteten Daten in Verbindung gebracht werden kann.

Was können Betroffene verlangen?

Wenn Sie personenbezogene Daten verar­beiten, stehen den betroffenen Perso­nen folgende Rechte zu:

• Recht auf Auskunft
• Recht auf Löschung
• Recht auf Berichtigung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch gegen die Datenverarbeitung

Was können Betroffene verlangen und was nicht?

Die Auskunft und Berichtigung falscher Daten kann ein Betroffener jederzeit ver­langen, sofern keine außerge­wöhn­lichen Umstände bestehen.
Das Recht auf Datenübertrag­barkeit besteht grund­sätzlich dann, wenn der Datenexport technisch machbar ist und keine Dritt­rechte, wie zum Beispiel Geschäfts­geheimnisse, verletzt werden.
Das Recht auf Löschen kann der Betroffene jederzeit verlangen, sofern keine gesetz­lichen Aufbewahrungsfristen oder berech­tigte Interessen entgegenstehen. Es ist auf jeden Fall hilfreich, wenn geeignete Aufbe­wahrungs­fristen im Ver­arbei­tungs­verzeichnis definiert wurden.
Das Recht auf Einschränkung der Verar­beitung wird ähnlich dem Recht auf Löschen behandelt und muss ebenfalls im Einzel­fall geprüft werden.

Wie schnell muss eine Betroffenenanfrage beantwortet werden?

Grundsätzlich sollte eine Anfrage eines Be­troffenen so schnell wie möglich beant­wortet werden – innerhalb einer Woche ist ein guter Wert, maximal jedoch inner­halb von vier Wochen.
Dennoch gibt es, je nach Umfang der An­frage, auch Dienstleister, welche mit­wirken müssen oder interne Prüfungen für ein berechtigtes Interesse. Dies ist meist nicht innerhalb einer Woche zu lösen, sodass mit einer Kombination aus Kom­muni­kations­politik dem Betroffenen gegen­über und effi­zienten Prozessen ent­gegen­gewirkt werden kann.
Sollten Sie selbst umfangreiche Anfragen nicht innerhalb von zwei Wochen bear­beiten können, empfiehlt sich eine Prozess­opti­mierung.

Was sind die Konsequenzen, falls Datenschutzanfragen nicht oder nur verzögert bearbeitet werden?

Jeder Betroffene hat das Recht, eine Be­schwerde bei der Aufsichtsbehörde einzu­reichen. Ausbleibende oder fehler­hafte Kommuni­kation in der Anfrage, keine voll­ständige Bearbeitung der Betrof­fenen­anfrage – im schlimmsten Fall drohen Bußgelder.

So sollte eine Betroffenenanfrage bearbeitet werden

Die Bearbeitung einer Datenschutzan­frage variiert je nach Verlangen des Betroffenen.
Erhalten Sie von einem ehemaligen Kunden die Bitte, sein Kundenkonto zu deaktivieren, dann reicht hier die einfache Bestätigung, dass dies umgesetzt wurde. Umfangreicher dagegen sind Verlangen nach dem Daten­export oder Daten­abfragen. Hierfür werden meist Auskunftsvorlagen ver­wendet, um keine Informationen zu vergessen und nicht relevante Daten zu kommuni­zieren.

Hier finden Sie eine allgemeine Empfehlung zur Umsetzung einer Betroffenenanfrage:

1. Versenden Sie eine Eingangsbestätigung mit Angaben, zu wann mit einer Antwort zu rechnen ist … Vergessen Sie die vier Wochen-Frist nicht!
2. Prüfen Sie, ob der Anfragende auch der Betroffene ist – Falls Ihnen Fehler unterlaufen, ist dies ggf. eine Datenpanne und muss gemeldet werden.
3. Prüfung des Verlangens – Ist die Anfrage des Betroffenen berechtigt oder bestehen zum Beispiel gesetzliche Aufbewahrungsfristen oder ein berechtigtes Interesse.
4. Umsetzung der Anfrage
5. Beantworten Sie die Anfrage des Betroffenen gemäß den notwendigen Informationen. Zur Bestätigung reicht bei manchen Anfragen eine kurze Bestätigung, bei Datenexporten oder Datenabfragen empfiehlt sich eine Auskunftsvorlage. Wichtig: Vergessen Sie keine Information zur korrekten Bearbeitung der Anfrage.
6. Sollten Schwachstellen oder Probleme bei der Bearbeitung aufgetreten sein, dann optimieren Sie den Bearbeitungsprozess oder Unternehmensprozesse zur Einhaltung der Datenschutzvorschriften.