Wie man einen Geschäftsprozess zur Verwaltung der Rechte betroffener Personen einrichtet (DSGVO)

01

Die kurze Antwort

Ein Unternehmen muss betroffenen Personen Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit ihrer Daten garantieren können, sowie das Recht, die Einwilligung zu widerrufen und sich bei einer Aufsichtsbehörde zu beschweren. Zu den Informationen, die betroffene Personen kennen müssen, gehören die Aufbewahrungsfrist der Daten, die Herkunft der Daten und das Vorhandensein etwaiger automatisierter Entscheidungsprozesse.

02

Wer macht was: Verantwortlicher, Auftragsverarbeiter und Hauptniederlassung

Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung, während der Auftragsverarbeiter in seinem Auftrag handelt; bei Gruppen mit mehreren Niederlassungen in der Union wird die Hauptniederlassung am Ort der Hauptverwaltung festgelegt, sofern die Entscheidungen über die Zwecke nicht anderswo getroffen werden. Diese Unterscheidung bestimmt, wer Anfragen beantwortet und welche Aufsichtsbehörde bei grenzüberschreitender Verarbeitung betroffen ist.

03

Die operativen Schritte des Prozesses

Schritte

1. Die Anfrage entgegennehmen und mit Eingangsdatum protokollieren, um eine interne Nachverfolgung ihrer Bearbeitung zu ermöglichen.
2. Die interne verantwortliche Rolle (Verantwortlicher oder benannter Auftragsverarbeiter) je nach spezifischer Verarbeitung identifizieren.
3. Prüfen, welche Rechte betroffen sind: Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch oder Übertragbarkeit.
4. Eine Antwort vorbereiten, die Aufbewahrungsfrist, Herkunft der Daten und das Vorhandensein etwaiger automatisierter Entscheidungen zusammen mit den ausübbaren Rechten angibt.
5. Die Verarbeitung überprüfen, wenn sich das Risikoniveau der betroffenen Tätigkeiten ändert.

04

Ein hypothetischer Fall

Annahme: Ein Unternehmen mit Niederlassungen in zwei Mitgliedstaaten erhält eine Zugangsanfrage. Das Datenschutzteam identifiziert die Hauptniederlassung, prüft, ob die Verarbeitung auf berechtigtem Interesse beruht, und erstellt eine Antwort mit Aufbewahrungsfrist, Herkunft der Daten und dem Vorhandensein etwaiger automatisierter Entscheidungen.

05

Prüfungen der an die betroffenen Personen übermittelten Informationen

• Die bereitgestellten Informationen geben die Aufbewahrungsfrist oder die Kriterien zu deren Bestimmung an.
• Das Recht auf Widerruf der Einwilligung wird erwähnt, falls die Verarbeitung darauf beruht.
• Das Recht auf Beschwerde bei einer Aufsichtsbehörde wird angegeben.
• Bei hohem Risiko wird die Folgenabschätzung aktualisiert, wenn sich das Risiko ändert.
• Sofern relevant, wurden die Meinungen der betroffenen Personen zur geplanten Verarbeitung eingeholt.

06

Was ein Unternehmen in einer Verwaltungssoftware konfigurieren kann

Eine Organisation kann mit ihrem Softwarepartner ein Anfragenregister strukturieren, das zugewiesene Rolle, Eingangsdatum, Art des ausgeübten Rechts und Antwortdatum nachverfolgt, um einen klaren Überblick über den Status jeder Anfrage zu behalten. Es ist sinnvoll, einen regelmäßigen Überprüfungsablauf vorzusehen, der mit Änderungen des Verarbeitungsrisikos verknüpft ist, mit unterschiedlichen Berechtigungen für diejenigen, die Anfragen entgegennehmen, bewerten und abschließen.

07

Häufig gestellte Fragen zum Prozess

• Welche Informationen muss das Unternehmen den betroffenen Personen über die Verarbeitung mitteilen? Aufbewahrungsfrist, Herkunft der Daten, etwaige automatisierte Entscheidungen und verfügbare Rechte.
• Wann sollte die Folgenabschätzung aktualisiert werden? Wenn sich das mit der Verarbeitung verbundene Risikoniveau ändert.
• Wer bestimmt die für die Antwort zuständige Niederlassung? Der Ort der Hauptverwaltung, sofern Entscheidungen über die Verarbeitung nicht anderswo getroffen werden.

08

Nächster Schritt

Die Festlegung von Rollen, Fristen und Nachvollziehbarkeit für jede Art von Anfrage ist der erste Schritt zu einem soliden Prozess: bestehende Verarbeitungen erfassen und klare Verantwortlichkeiten zuweisen, bevor die nächste Anfrage eintrifft.