Der häufigste Fehler bei der Bearbeitung eines Antrags einer betroffenen Person liegt nicht in der Frist, in der Sie antworten, sondern im Inhalt Ihrer Antwort. Unternehmen senden bei einer Auskunftsanfrage oft zu wenig Daten zurück oder löschen bei einer Löschanfrage Daten, die sie eigentlich noch bewahren mussten. Beide Fehler entstehen, weil der Antrag als eine einfache Aktion behandelt wird, während zunächst eine Reihe von Fragen beantwortet werden muss.
Der Kern des Fehlers ist dies: Ein Antrag auf Auskunft oder Löschung erfordert eine Bewertung pro Datum, nicht einen Schalter, den Sie umlegen. Wer eine komplette Personalakte löscht, weil ein ehemaliger Arbeitnehmer dies verlangt, kann problemlos Daten löschen, die aufgrund einer anderen gesetzlichen Verpflichtung noch bewahrt werden müssen, wie Steuer- oder arbeitsrechtliche Aufbewahrungsfristen. Wer bei einer Auskunftsanfrage nur einen Export aus einem System sendet, übersieht häufig Daten, die sich an anderer Stelle befinden, zum Beispiel in einer separaten Excel-Datei oder in der Mailbox einer Führungskraft.
Warum dieser Fehler so häufig vorkommt
Die AVG gibt betroffenen Personen das Recht auf Auskunft und unter bestimmten Voraussetzungen das Recht auf Löschung. Beide Rechte sind nicht unbegrenzt. Das Recht auf Löschung gilt zum Beispiel nicht, wenn eine gesetzliche Aufbewahrungspflicht besteht oder wenn die Daten erforderlich sind, um einen Rechtsanspruch geltend zu machen, auszuüben oder zu verteidigen. Diese Unterscheidung steht nicht auf einer einfachen Checkliste, und das macht es schwierig für jemanden, der dies zum ersten Mal bearbeitet.
Ein zweiter Grund ist, dass Daten in einem durchschnittlichen MKB-Unternehmen verstreut sind: im CRM, in der Buchhaltung, in E-Mail, manchmal in einer Chat-App. Ein Antrag wird oft aus einem System beantwortet, während die betroffene Person das Recht auf ein vollständiges Bild hat. Das ist genau der Punkt, an dem ein aktuelles Register der Verarbeitungstätigkeiten den Unterschied ausmacht: Wenn Sie vorher bereits dokumentiert haben, welche Systeme Personendaten enthalten und von wem, müssen Sie das nicht unter Zeitdruck ermitteln, wenn ein Antrag eingeht.
Der zweite Fehler: Identität nicht überprüfen
Neben der inhaltlichen Bewertung geht es oft beim ersten Schritt schief: festzustellen, wer den Antrag stellt. Ein Antrag auf Auskunft oder Löschung enthält häufig sensible Informationen, und diese Informationen sollten nur der betroffenen Person zukommen. Die Bearbeitung eines Antrags zu schnell ohne Überprüfung der Identität kann dazu führen, dass Daten einer Person bei der falschen Person landen. Gleichzeitig gilt: Eine unnötig strenge Identitätsprüfung verlangsamt die Bearbeitung und kann als Hürde wahrgenommen werden, die nicht dem Antrag entspricht.
Wie Sie diesen Fehler vermeiden
Der erste Schritt ist, den Antrag selbst ordnungsgemäß zu dokumentieren: Was wird genau verlangt, von wem und an welchem Datum ist es eingegangen. Von diesem Zeitpunkt an läuft die gesetzliche Frist, und diese Frist gilt unabhängig davon, ob der Antrag per E-Mail, Telefon oder Brief eingeht.
Der zweite Schritt ist, zu überprüfen, in welchen Systemen sich Daten dieser Person befinden. Ein aktualisiertes Register der Verarbeitungstätigkeiten beschleunigt dies erheblich, da Sie bereits wissen, welche Tools und Anbieter Daten von Mitarbeitern oder Kunden verarbeiten. Wer dies noch nicht zentral dokumentiert hat, kann in der Wissensdatenbank mit Erläuterungen pro Situation nachlesen, was genau in ein Register gehört, bevor ein Antrag eingeht.
Der dritte Schritt ist, pro Datum zu bewerten, ob eine Löschung oder Offenlegung zulässig ist, anstatt die gesamte Akte auf einmal zu bearbeiten. Bei Zweifeln über eine gesetzliche Aufbewahrungspflicht, die dem Antrag entgegensteht, ist es ratsam, hier rechtliche Beratung einzuholen; die Aufsichtsbehörde nennt diese Unterscheidung in ihren Leitlinien, aber das Ergebnis hängt von der spezifischen Situation ab.
Schließlich ist es hilfreich, vorher einen festen Prozess für solche Anfragen zu haben, damit nicht bei jeder Anfrage erneut überlegt werden muss, wer wofür verantwortlich ist. Antworten auf häufig gestellte Fragen zu diesem Thema finden Sie übersichtlich zusammengefasst in der Sammlung häufig gestellter Fragen, und wer sehen möchte, wie gdpria.eu die Fundstelle jeder Antwort angibt, liest das auf der Seite Erklärung, wie die Informationen zustande kommen.
Ein gut gepflegtes Register und ein fester Prozess verhindern nicht, dass eine Anfrage eingeht, aber sie verhindern, dass sie unter Zeitdruck falsch bearbeitet wird. Wer dies lieber strukturell regeln möchte, anstatt sich von Fall zu Fall neu zu überlegen, kann sich kostenlos über ein geschäftliches Konto informieren und so die Übersicht pro System und pro Anfrage in Ordnung bringen.
Sind Sie neugierig, wie Ihre eigene Situation aussieht? Der kostenlose Quick-Check gibt Ihnen in wenigen Fragen einen ersten Eindruck, ohne dass Sie dafür ein Konto benötigen.