Rechte der betroffenen Personen: Glossar und Prozess für die Bearbeitung im Unternehmen

01

Was zur Bearbeitung der Rechte betroffener Personen nötig ist

Ein wirksamer Unternehmensprozess beginnt mit den Informationen, die der Verantwortliche der betroffenen Person bereitstellen muss: Speicherdauer, Rechtsgrundlage, Bestehen der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.

Beruht die Verarbeitung auf einer Einwilligung, ist zudem das Recht anzugeben, diese jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bereits erfolgten Verarbeitung berührt wird.

02

Das Grundglossar zur Orientierung

• Aufsichtsbehörde: die von einem Mitgliedstaat eingerichtete unabhängige öffentliche Stelle.
• Hauptniederlassung: der Ort der Hauptverwaltung des Verantwortlichen oder Verarbeiters in der Union.
• Vertreter: eine schriftlich benannte Person, die den Verantwortlichen oder Verarbeiter in der Union vertritt.
• Grenzüberschreitende Verarbeitung: Verarbeitung, die betroffene Personen in mehr als einem Mitgliedstaat betrifft.
• Relevanter und begründeter Einwand: ein Einwand, der erhebliche Risiken für die Rechte und Freiheiten betroffener Personen aufzeigt.

03

Der operative Ablauf Schritt für Schritt

Schritte

1. Anfrage registrieren und die Identität der betroffenen Person prüfen.
2. Rechtsgrundlage der Verarbeitung und betroffene Daten ermitteln, einschließlich eines etwaigen berechtigten Interesses.
3. Die Informationen innerhalb eines Monats nach Erhalt der Daten bereitstellen, spätestens jedoch bei der ersten Kommunikation mit der betroffenen Person.
4. Die Datenquelle angeben, falls diese aus öffentlich zugänglichen Quellen stammt, sowie das Bestehen etwaiger automatisierter Entscheidungen.
5. Den Prozess überprüfen, wenn sich die mit den Verarbeitungstätigkeiten verbundenen Risiken ändern.

04

Ein hypothetischer Fall: eine Auskunftsanfrage in einem kleinen Unternehmen

Annahme: Ein Kunde fragt, welche Daten das Unternehmen über ihn speichert. Der Prozessverantwortliche prüft die Identität, ermittelt die Rechtsgrundlage der Verarbeitung und bereitet die Antwort innerhalb der Monatsfrist vor.

Die Antwort enthält die voraussichtliche Speicherdauer, die Datenquelle und die Information über das Recht auf Beschwerde bei einer Aufsichtsbehörde.

05

Vorzusehende Mindestkontrollen

• Prüfen, dass jede Antwort die Kriterien der Datenspeicherung angibt.
• Kontrollieren, dass das Widerspruchsrecht und das Recht auf Datenübertragbarkeit erwähnt werden.
• Bestätigen, dass das Recht auf Widerruf der Einwilligung angegeben ist, soweit anwendbar.
• Prüfen, dass Informationen über etwaige automatisierte Entscheidungen und die verwendete Logik vorhanden sind.

06

Was ein Unternehmen mit Unterstützung einer Verwaltungssoftware einrichten kann

Ein Unternehmen kann sich dafür entscheiden, in einem Softwaresystem die für jede Anfrage bereitzustellenden Informationen zu erfassen: Speicherdauer, Rechtsgrundlage, Datenquelle und Vorliegen automatisierter Verarbeitungen.

Es kann außerdem Rollen und Verantwortlichkeiten für die Entgegennahme von Anfragen festlegen und eine regelmäßige Überprüfung des Prozesses vorsehen, wenn sich das Risikoniveau ändert – als vorgeschlagene betriebliche Entscheidung und nicht als automatische Pflicht der Software.

07

Häufige Fragen im Überblick

• Die Mindestinformationen betreffen Speicherung, Rechtsgrundlage, Rechte und Datenquelle.
• Die vorgesehenen Antwortfristen reichen von einer angemessenen Frist bis maximal einem Monat.
• Der Prozess sollte überprüft werden, wenn sich Änderungen des Verarbeitungsrisikos ergeben.

08

Nächster Schritt

Erfassen Sie, welche Informationen Ihr Unternehmen betroffenen Personen bereits bereitstellt, und vergleichen Sie diese mit der in Artikel 13(2) vorgesehenen Liste: Speicherung, Rechte, Datenquelle und automatisierte Entscheidungen. Von hier aus können Sie einen überprüfbaren und nachvollziehbaren Prozess aufbauen.