Wie man einen Geschäftsprozess zur Verwaltung der Rechte betroffener Personen einrichtet (DSGVO)

01

Was ein Unternehmen tun kann

Ein Unternehmen kann einen wiederholbaren Prozess zur Bearbeitung von Anträgen betroffener Personen aufbauen, ausgehend von den in der DSGVO vorgesehenen Rechten: Zugang, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit und Widerruf der Einwilligung, sowie dem Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Der Verantwortliche muss diese Informationen innerhalb einer angemessenen Frist bereitstellen, spätestens jedoch innerhalb eines Monats nach Erhalt der personenbezogenen Daten, oder, falls die Daten für die Kommunikation mit der betroffenen Person bestimmt sind, spätestens zum Zeitpunkt der ersten Mitteilung. Die Zuordnung dieser Elemente ermöglicht es, jede Anfrage rechtzeitig und dokumentiert zu beantworten.

02

Der Kontext: wer entscheidet und wer antwortet

Der Prozess beruht auf der Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter gemäß Artikel 4 der DSGVO. Hat ein Unternehmen Niederlassungen in mehreren Mitgliedstaaten, wird die Hauptniederlassung als der Ort seiner Hauptverwaltung in der Union bestimmt, sofern die Entscheidungen über die Zwecke und Mittel der Verarbeitung nicht anderswo getroffen werden; in diesem Fall gilt diese andere Niederlassung als Hauptniederlassung. Genau zu wissen, wer über Zwecke und Mittel der Verarbeitung entscheidet, ermöglicht es, schnell festzustellen, wer auf eine Anfrage einer betroffenen Person antworten muss.

03

Der Arbeitsablauf Schritt für Schritt

Schritte

1. Nehmen Sie die Anfrage der betroffenen Person entgegen und erfassen Sie das Eingangsdatum, um die einmonatige Frist der DSGVO zu berechnen.
2. Ermitteln Sie, welches Recht ausgeübt wird: Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch, Übertragbarkeit oder Widerruf der Einwilligung.
3. Prüfen Sie, ob der Verantwortliche oder der Auftragsverarbeiter die Antwort bearbeiten muss, basierend auf der Hauptniederlassung.
4. Wenn die Verarbeitung eine risikoreiche Tätigkeit betrifft, prüfen Sie, ob eine Überprüfung der Folgenabschätzung erforderlich ist.
5. Antworten Sie der betroffenen Person mit dem Ergebnis und weisen Sie auf das Recht hin, Beschwerde bei einer Aufsichtsbehörde einzulegen.

04

Ein hypothetisches Beispiel

Hypothetisches Beispiel: Ein Kunde schreibt an ein E-Commerce-Unternehmen und verlangt die Löschung seiner personenbezogenen Daten sowie den Widerruf der Einwilligung zur Direktwerbung. Die Datenschutzabteilung erfasst das Eingangsdatum, prüft, ob die Verarbeitung für Marketingzwecke auf einer Einwilligung beruhte, und bereitet eine Antwort vor, die die Löschung bestätigt, die für verbleibende Daten geltende Aufbewahrungsfrist angibt und den Kunden an sein Recht erinnert, Beschwerde bei einer Aufsichtsbehörde einzulegen, alles innerhalb der einmonatigen Frist der DSGVO.

05

Prüfungen vor dem Versand der Antwort

• Die Antwort gibt die Aufbewahrungsfrist der Daten oder die zur Bestimmung verwendeten Kriterien an.
• Die Antwort weist auf das Vorhandensein einer automatisierten Entscheidungsfindung und die verwendete Logik hin.
• Die Anfrage wird innerhalb der einmonatigen Frist oder gemäß den Fristen der ersten Mitteilung bearbeitet.
• Ändert sich das Risiko der Verarbeitung, wird eine Überprüfung der Datenschutz-Folgenabschätzung erwogen.
• Die Beschreibung der Verarbeitung bleibt konsistent mit der bereits durchgeführten Bewertung von Notwendigkeit, Verhältnismäßigkeit und Risiken.

06

Wie Software den Prozess unterstützen kann

• Ein Softwaresystem kann das Eingangsdatum jeder Anfrage erfassen und automatisch die einmonatige Frist berechnen.
• Es kann verfolgen, welches Recht geltend gemacht wurde und wer im Unternehmen die Antwort übernommen hat.
• Es kann den vollständigen Verlauf der Anfragen und Antworten aufbewahren, um die laufende Compliance nachzuweisen.
• Es kann anzeigen, wenn eine Änderung der Verarbeitung eine Überprüfung der Datenschutz-Folgenabschätzung erfordert.
• Es kann unterschiedliche Rollen und Berechtigungen für diejenigen zuweisen, die entscheiden, antworten und Anfragen prüfen.

07

Wichtige Punkte zum Merken

• Die bei jeder Anfrage zu verfolgenden Rechte sind Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch, Übertragbarkeit und Widerruf der Einwilligung.
• Die Antwortfrist beträgt spätestens einen Monat nach Erhalt der Daten, sofern nicht an die Fristen der ersten Mitteilung gebunden.
• Eine Folgenabschätzung enthält eine Beschreibung der Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit sowie Maßnahmen für die Risiken.

08

Praktischer nächster Schritt

Ein guter Ausgangspunkt ist, es schriftlich festzuhalten: definieren Sie, wer im Unternehmen Anfragen betroffener Personen bearbeitet, innerhalb welcher Fristen, und wann die Datenschutz-Folgenabschätzung überprüft werden muss, insbesondere wenn sich das durch die Verarbeitung dargestellte Risikoniveau ändert. Die Dokumentation dieses Prozesses erleichtert eine konsistente Beantwortung jeder Anfrage.