Die kurze Antwort
Die Rechte selbst ändern sich dieses Jahr nicht. Das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenportabilität ist in der DSGVO selbst verankert, und dieser Text wird nicht jährlich umgeschrieben. Was sich verschiebt, ist die Art und Weise, wie diese Anfragen in Unternehmen eingehen und wie Aufsichtsbehörden und die Europäische Datenschutzbehörde (EDPB) sie auslegen. Für einen Geschäftsführer oder HR-Manager macht das einen praktischen Unterschied, auch wenn sich an der Gesetzestexte nichts ändert.
Das bedeutet nicht, dass Sie nichts nachverfolgenmüssen. Orientierungshilfen der niederländischen Datenschutzbehörde und der EDPB werden regelmäßig ergänzt, etwa darüber, wie Sie die Identität eines Antragstellers überprüfen oder wie Sie mit einer Anfrage umgehen, die über eine Chat-Funktion oder soziale Medien eingereicht wird. Diese Ergänzungen sind keine neuen Gesetze, sondern eine präzisere Auslegung einer bestehenden Pflicht.
Was im Gesetz selbst nicht ändert sich
Der Kern bleibt unverändert: Eine betroffene Person darf fragen, welche Daten Sie von ihr verarbeiten, darf unrichtige Daten korrigieren lassen, und kann unter bestimmten Voraussetzungen die Löschung verlangen. Die Frist, innerhalb derer Sie antworten müssen, ist in der DSGVO selbst verankert und unterliegt keiner jährlichen Überprüfung. Unternehmen, die glauben, dass dieses Jahr eine neue, kürzere oder längere Antwortfrist eingeführt wurde, verwechseln das wahrscheinlich mit internen Vereinbarungen oder mit Mitteilungen, die sich nicht auf den Gesetzestext selbst beziehen.
Auch die Ausnahmegründe, etwa eine gesetzliche Aufbewahrungspflicht, die einer Löschung entgegensteht, sind unverändert. Was sich verschieben kann, ist die Strenge, mit der Aufsichtsbehörden diese Ausnahmen in ihren Orientierungshilfen auslegen. Das ist keine Gesetzesänderung, aber es kann bedeuten, dass eine Begründung, die im Vorjahr ausreichte, dieses Jahr präziser dokumentiert werden muss.
Was sich dieses Jahr tatsächlich verschiebt
Drei Entwicklungen sind für kleine und mittlere Unternehmen relevant, ohne dass das Gesetz selbst geändert wurde. Erstens treffen Anfragen immer häufiger digital ein, über ein Kontaktformular, einen Chatbot oder eine Antwort in sozialen Medien, anstatt per Brief. Das ändert nichts an der Verpflichtung, aber es stellt die Frage, ob eine Anfrage als formale Anfrage erkannt wird und zeitnah die richtige Person in der Organisation erreicht.
Zweitens wächst die Aufmerksamkeit für Anfragen, die sich auf automatisierte Verarbeitung beziehen, zum Beispiel wenn Daten verwendet wurden, um ein Profil zu erstellen, oder eine KI-Anwendung Eingaben für eine Entscheidung geliefert hat. Die EDPB arbeitet dieses Thema regelmäßig weiter aus. Unternehmen, die KI-Tools für Kundenkontakt oder Personalbeurteilung nutzen, sollten daher wissen, welche Daten darin stecken, bevor eine Anfrage eingeht. Das bezieht sich unmittelbar auf die Fragen, die sich stellen rund um DSGVO und KI-Tools in der Praxis.
Drittens wird auf europäischer Ebene eine breitere Debatte über die Bewertung der DSGVO insgesamt geführt. Dabei wird überprüft, ob die Regeln für kleinere Organisationen vereinfacht werden können, aber konkrete Gesetzesänderungen sind derzeit nicht beschlossen. Was noch nicht feststeht, teilen wir hier als solches mit: es gibt kein definitives Datum oder Inhalte bekannt, und Spekulationen darüber helfen einem Unternehmer nicht weiter.
Für wen das relevant ist
Diese Verschiebungen treffen vor allem Organisationen, die viele Kontaktpunkte mit Kunden oder Mitarbeitern haben: ein Büro mit Kundenservice, ein Handwerksbetrieb mit einem Angebotsformular auf der Website, oder eine HR-Abteilung, die Bewerberdaten verarbeitet. Je mehr Kanäle über die jemand Kontakt aufnimmt, desto größer ist die Chance, dass eine Anfrage irgendwo eingeht, ohne dass jemand sie als formale DSGVO-Anfrage erkennt. Das ist kein Rechtsrisiko, das wir hier einschätzen, sondern ein praktischer Punkt, der es wert ist, intern besprochen zu werden.
Auch relevant ist die Beziehung zu Ihren Verträgen zur Auftragsverarbeitung: Wenn ein Kunde einen Antrag bei Ihnen stellt, aber die Daten bei einem externen SaaS-Anbieter gespeichert sind, muss dieser Anbieter bei der Auskunftserteilung oder Löschung mitwirken können. Ob dies vertraglich gut geregelt ist, können Sie über die häufig gestellte Fragen zu Verträgen zur Auftragsverarbeitung und SaaS-Tools.
Wie Sie dies nachverfolgen, ohne es jedes Mal neu zu ermitteln
Da der Wortlaut des Gesetzes stabil ist, aber die Auslegung sich verschiebt, ist es vor allem wichtig zu wissen, woher der aktuelle Stand kommt und wann dieser sich ändert. gdpria.eu verknüpft jedes Thema mit der Fundstelle in der Verordnung (EU) 2016/679 und mit den Leitlinien des EDPB und der Autoriteit Persoonsgegevens, sodass Sie nicht selbst nachverfolgen müssen, ob etwas angepasst wurde. Bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten können Sie beispielsweise zunächst in wenigen Fragen überprüfen, wo Sie stehen, bevor Sie weitere Schritte unternehmen.
Möchten Sie wissen, wie solche Informationen nachverfolgt werden und woher die Quellenangabe stammt? Führen Sie den kostenlosen Quick-Check durch oder lesen Sie die Themen in der Wissensdatenbank durch, und entscheiden Sie selbst, ob ein nächster Schritt erforderlich ist.