Menü
Im Hinblick auf die Betroffenenrechte müssen Sie gewährleisten, dass jede Person die ihr zustehenden Rechte aus der DSGVO auch wahrnehmen, also ausüben kann. Im Grunde kann jede Person bei Ihnen anfragen, ob Sie überhaupt Daten von ihr speichern.
Beim Umgang mit Betroffenenrechten sind bestimmte Fristen einzuhalten. Werden diese Fristen nicht eingehalten, kann das bereits zu empfindlichen Sanktionen führen.
Über das Recht zur Beschwerde bei einer Aufsichtsbehörde müssen Sie nur informieren. Bei der Wahrnehmung anderer Rechte müssen Sie selbst tätig werden.
Nachfolgend beschäftigen wir uns mit
Das Auskunftsrecht ist das am häufigsten in Anspruch genommene Recht. Leider kann man hier auch die meisten Fehler machen.
Je nachdem, welches Recht eine Person ausübt, ist die Anfrage entsprechend einzuordnen und zu bearbeiten. Wir geben Ihnen nachfolgend Empfehlungen für mögliche Szenarien. Werfen Sie in unserer Arbeitshilfe einen Blick auf die FAQ zum Auskunftsverfahren.
Eine Anfrage zum Datenschutz kann jede Person formlos stellen. Dies schließt auch Personen ein, von denen Sie vielleicht gar keine Daten verarbeiten. Eine Anfrage zum Datenschutz kann telefonisch, mündlich, persönlich, per E-Mail, per Fax, per Schreiben, per Messenger daherkommen.
Als erstes gilt es sicherzustellen, dass Sie und Ihre Beschäftigten eine Anfrage zum Datenschutz überhaupt erkennen. Dies gilt für JEDE Art der Anfrage zum Datenschutz. Diese Anfrage wird umgehend an die Person weitergeleitet, die sich bei Ihnen um den Datenschutz kümmert – wer das ist, haben Sie ja bereits im ersten Schritt kommuniziert.
Alle Beschäftigten sollten darüber informiert sein, dass bereits die Auskunft darüber, OB überhaupt Daten vorhanden sind, eine unbefugte Offenlegung – also einen Datenschutzvorfall – darstellt, wenn sie an die falsche Person gelangt. Ein anschauliches Beispiel dafür sind Online-Partnerbörsen. Gleiches gilt übrigens auch für die Auskunft, OB jemand einen Termin bei einer ärztlichen oder therapeutischen Einrichtung hat.
Nachfolgend sehen Sie, wie sich ein einfacher Prozessablauf bildlich darstellen lässt. An diesem können sich Beschäftigte orientieren, ohne erst viel lesen zu müssen.
Wenn Sie begründete Zweifel an der Identität der anfragenden Person haben, dann können Sie weitere Informationen anfordern, die erforderlich sind, um die Identität der betroffenen Person zu bestätigen. So können Sie sicherstellen, dass die Auskunft nur an die richtige, betroffene Person erteilt wird.
Als Verantwortlicher sollten Sie intern festlegen
Achten Sie darauf, dass Sie es der anfragenden Person nicht unnötig schwer machen.
Nutzen Sie für die interne Organisation eine Unternehmensrichtlinie oder Arbeitsanweisung. Mehr dazu efahren Sie im Schritt 06 - Klare Regeln.
Das Auskunftsrecht unterscheidet sich von den anderen Rechten, weil es hier gegebenenfalls mehr zu tun gibt und mehr zu beachten ist. Das wird besonders deutlich, wenn die Daten (noch) nicht komplett digitalisiert und auf Knopfdruck verfügbar sind.
Hier sehen Sie ein weiteres Beispiel zur Umsetzung eines einfachen Prozess-Schaubildes. Bildliche Darstellungen können dabei helfen, die Vorgaben für alle Beschäftigten zu verdeutlichen.
Eine Person möchte wissen, OB Sie personenbezogene Daten von ihr verarbeiten. Vielleicht hat diese Person gerade Werbung von Ihnen erhalten und fragt sich, was sie mit Ihnen zu tun hat.
Sollten Sie bereits über ein gut geführtes Verzeichnis der Verarbeitungstätigkeiten (VVT) verfügen, können Sie diese Daten in der Regel dort einfach ablesen und der anfragenden Person Auskunft erteilen. Mögliche Bestände wären vielleicht an diesen Orten zu finden:
Nachdem Sie die Identitätsprüfung vorgenommen haben, prüfen Sie ob personenenbezogenen Daten des anfragenden Betroffenen bei Ihnen vorhanden sind.
Sollten Sie festgestellt haben, DASS Sie personenbezogene Daten vorhalten, müssen Sie dies der anfragenden Person mitteilen. Zu diesem Zeitpunkt brauchen Sie aber noch nicht zu erwähnen, WELCHE Daten Sie vorhalten, da die Person erst einmal gefragt hat, ob Sie überhaupt Daten haben.
Sollten Sie festgestellt haben, dass Sie KEINE personenbezogenen Daten haben, müssen Sie dies der anfragenden Person ebenfalls mitteilen. Dies wird auch Negativ-Auskunft genannt.
Möchte die betroffene Person eine Kopie ihrer personenbezogenen Daten erhalten, ist diese grundsätzlich zu erteilen. In welchem Umfang dies zu geschehen hat, ist nicht immer leicht zu beantworten und führt mitunter zu Streitigkeiten. Hierbei sind einige Umstände zu beachten, die wir Ihnen in der Arbeitshilfe zusammengestellt haben.
„Bitte löschen Sie alle meine Daten“
Das Recht auf Löschung ist insofern erwähnenswert, als es häufig von einer betroffenen Person „beantragt“ wird, die Daten oftmals aber gar nicht gelöscht werden können. Zum einen haben Sie ohnehin die Pflicht zum Löschen von nicht mehr benötigten Daten. Zum anderen gibt es einige Ausnahmen, wonach Sie die Daten (noch) nicht löschen dürfen.
Unter anderem dürfen Sie die personenbezogenen Daten (noch) nicht löschen, wenn
Natürlich sind andere Löschansprüche unverzüglich umzusetzen, sofern es machbar ist. Das Löschen eines Fotos, eines Nutzungkontos, aus Mailing-Listen oder von Inhaltsdaten sind nur einige Beispiele.
