Datenauszug gemäß DSGVO – so gehen Unternehmen mit den Rechten der betroffenen Personen um

Kurze Antwort: Wenn eine Person Zugang zu ihren personenbezogenen Daten verlangt, muss das Unternehmen in der Lage sein, die Anfrage zu identifizieren, die Identität auf verhältnismäßige Weise zu überprüfen, relevante Daten zu sammeln, mögliche Einschränkungen zu prüfen und innerhalb der Fristen der DSGVO zu antworten. Eine gute Arbeitsweise stellt sicher, dass jede Anfrage einheitlich bearbeitet wird und nachträglich nachvollzogen werden kann.

Was ist ein Registerauszug gemäß DSGVO?

Das Recht auf Auskunft bedeutet, dass die betroffene Person eine Bestätigung darüber erhalten kann, ob personenbezogene Daten verarbeitet werden, und, falls dies der Fall ist, Zugang zu den Daten sowie Informationen unter anderem über Zwecke, Kategorien von Daten, Empfänger, Speicherdauer und Rechte erhalten kann. Die Anfrage muss daher breiter gehandhabt werden, als nur eine Liste aus einem IT-System zu exportieren.

Für welche Rechte müssen Unternehmen Routinen haben?

• Recht auf Auskunft und Registerauszug
• Berichtigung unrichtiger Daten
• Löschung, wenn die Voraussetzungen erfüllt sind
• Einschränkung der Verarbeitung
• Datenübertragbarkeit in anwendbaren Fällen
• Widerspruch, unter anderem gegen Direktmarketing
• Information über automatisierte Entscheidungsfindungen, wenn solche Regeln relevant sind

Unterschiedliche Rechte haben unterschiedliche Voraussetzungen. Eine standardisierte Checkliste verringert das Risiko, dass eine Anfrage so behandelt wird, als ob alle Rechte auf die gleiche Weise funktionieren würden.

Schritt für Schritt: von der Anfrage zum abgeschlossenen Fall

1. Anfrage registrieren. Notieren Sie, wann sie eingegangen ist, was die Person verlangt und welche Kontaktdaten verwendet werden.
2. Identität bewerten. Fordern Sie nur die zusätzlichen Informationen an, die tatsächlich benötigt werden, um zu vermeiden, dass Daten an die falsche Person gelangen.
3. Suche eingrenzen. Identifizieren Sie Systeme, Auftragsverarbeiter, E-Mails, Fallmanagement und andere Quellen, in denen relevante Daten vorhanden sein können.
4. Ergebnis prüfen. Ein Registerauszug darf nicht dazu führen, dass die Rechte und Freiheiten anderer Personen missachtet werden.
5. Verständlich antworten. Die Informationen müssen in klarer und deutlicher Form bereitgestellt werden, und die Dokumentation sollte zeigen, wie die Beurteilung vorgenommen wurde.
6. Abschließen und nachverfolgen. Speichern Sie Entscheidungsgrundlagen, Datum und durchgeführte Maßnahmen gemäß den Dokumentationsroutinen des Unternehmens.

Wie viel Zeit hat das Unternehmen?

Die DSGVO geht davon aus, dass die betroffene Person Informationen über Maßnahmen ohne unnötige Verzögerung und normalerweise innerhalb eines Monats erhalten sollte. In komplexeren Situationen kann die Frist unter bestimmten Voraussetzungen verlängert werden, die betroffene Person muss jedoch über die Verlängerung und die Gründe informiert werden. Ein internes Fallregister sollte daher das letzte Antwortdatum und die verantwortliche Person enthalten.

Häufige Fehler

• keinen gemeinsamen Eingang für Anfragen zu haben
• eine zu umfassende Identitätsprüfung durchzuführen und damit mehr personenbezogene Daten als notwendig zu sammeln
• Daten bei Auftragsverarbeitern zu vergessen
• Informationen über andere Personen ohne ausreichende Prüfung herauszugeben
• nicht zu dokumentieren, warum eine Anfrage ganz oder teilweise abgelehnt wird
• die Frist zu verpassen, weil der Fall keinen verantwortlichen Inhaber hat

Praktische Dokumentation

Für Unternehmen, die wiederkehrende Anfragen bearbeiten, ist es effizient, ein Fallprotokoll mit Antwortvorlagen, Identitätsprüfung, Entscheidungshilfen und Kontrollpunkten für das jeweilige Recht zu kombinieren. Auf diese Weise wird der Prozess sowohl schneller als auch bei einer internen Kontrolle leichter vorzeigbar.

Siehe das DSGVO-Paket des Vorlagen-Shops für Registerauszüge und Rechte betroffener Personen.

Zugehörige DSGVO-Dokumentation

Ein funktionierender Rechtsablauf hängt oft mit dem Verzeichnis von Verarbeitungstätigkeiten (VVT/RoPA) des Unternehmens, den Rechtsgrundlagen und den Routinen für Vorfälle zusammen. Je besser die Verarbeitungsaktivitäten kartiert sind, desto schneller ist es normalerweise, bei einer Anfrage die richtigen Daten zu finden.

FAQ

Muss ein Registerauszug immer genau in dem Format bereitgestellt werden, das die Person verlangt?

Das Format sollte zugänglich und verständlich sein, aber praktische und rechtliche Voraussetzungen können beeinflussen, wie das Material bereitgestellt wird. Wichtig ist, dass die betroffene Person tatsächlich Einsicht in die Informationen erhält, die die DSGVO vorschreibt.

Darf das Unternehmen Gebühren erheben?

Die Grundregel ist, dass Informationen und Maßnahmen gemäß den Bestimmungen über die Rechte unentgeltlich sind. Die DSGVO enthält begrenzte Ausnahmen für offensichtlich unbegründete oder unverhältnismäßige Anfragen.

Muss alles dokumentiert werden?

Es ist klug zu dokumentieren, wie die Anfrage bearbeitet wurde, welche Systeme geprüft wurden, welche Beurteilungen vorgenommen wurden und wann die Antwort übermittelt wurde. Die Dokumentation unterstützt die Rechenschaftspflicht gemäß DSGVO.

Der Artikel enthält allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.