Ein Antrag einer betroffenen Person ist jeder Antrag von jemandem, dessen Personendaten Sie verarbeiten, mit dem diese Person eines der Rechte nutzt, die die DSGVO ihr einräumt. Das geht über die beiden bekannte Formen, Auskunft und Löschung, hinaus. Die Verordnung kennt auch das Recht auf Berichtigung, das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenportabilität und das Widerspruchsrecht gegen eine bestimmte Verarbeitung. Alle diese Anträge fallen unter denselben Begriff und lösen dieselbe Pflicht aus: Sie müssen darauf reagieren.
Das Detail, das bei diesem Thema am häufigsten übersehen wird, ist, dass ein Antrag keine bestimmte Form benötigt. Ein Kunde, der in einer gewöhnlichen E-Mail schreibt "ich möchte wissen, welche Daten ihr über mich habt" oder ein ehemaliger Mitarbeiter, der am Schalter sagt "darf mein Name aus eurem System entfernt werden", reicht damit bereits einen Antrag ein, auch ohne Formular, ohne das Wort DSGVO zu verwenden und ohne dass dieser über einen festen Ansprechpartner eingeht. Gerade dieser informelle Eingang ist es, wo es oft schief geht: nicht bei der Bearbeitung des Antrags, sondern bei seiner Erkennung.
Welche Rechte fallen unter einen Antrag einer betroffenen Person
Die DSGVO gibt jemandem, dessen Daten Sie verarbeiten, eine Reihe miteinander verknüpfter Rechte. Auskunft bedeutet, dass jemand wissen darf, welche Daten Sie von ihm haben und wofür diese verwendet werden. Berichtigung bedeutet, dass fehlerhafte Daten korrigiert werden können müssen. Löschung, auch als Recht auf Vergessenwerden bekannt, bedeutet, dass Daten in bestimmten Situationen gelöscht werden müssen. Einschränkung bedeutet, dass Daten vorübergehend nicht mehr verwendet werden dürfen, beispielsweise während einer Diskussion über deren Richtigkeit. Datenportabilität gibt jemandem das Recht, Daten, die er selbst bereitgestellt hat, in einem gängigen Format zu erhalten. Und das Widerspruchsrecht gibt jemandem die Möglichkeit, gegen eine bestimmte Verarbeitung einzusprehen, beispielsweise gegen die Verwendung seiner Daten für Marketing.
Keines dieser Rechte ist bedingungslos. Die DSGVO verbindet mit jedem Recht eigene Voraussetzungen und Ausnahmen, und ob ein Antrag tatsächlich genehmigt werden muss, hängt von der Situation ab. Genau deshalb kann eine allgemeine Erklärung hier niemals ein Urteil über einen einzelnen Fall ersetzen.
Warum die Erkennung schwieriger ist als die Bearbeitung
Viele Unternehmen richten ihre Aufmerksamkeit auf den Prozess nach einem Antrag: wer antwortet, innerhalb welcher Frist, mit welchem Dokument. Das ist berechtigt, aber es ist nicht der erste Engpass. Der erste Engpass ist, dass ein Antrag selten über den Kanal eingeht, den Sie dafür eingerichtet haben. Er geht beim Mitarbeiter ein, der das Telefon abnimmt, bei der Kollegin, die die Kundenservice-Mailbox verwaltet, oder beim Büroleiter, der zufällig in der Lobby steht. Wenn niemand in der Organisation weiß, dass solch ein Satz bereits ein Antrag ist, beginnt die Frist für Sie zu laufen, ohne dass Sie es wissen.
Das ist auch der Grund, warum Aufsichtsbehörden in ihren Leitlinien betonen, dass ein Antrag nicht an einen bestimmten Kanal oder eine bestimmte Formulierung gebunden ist. Die verantwortliche Organisation, nicht die betroffene Person, trägt die Last, einen Antrag zu erkennen, sobald er gestellt wird. die Wissensdatenbank mit Erklärungen zu jedem Recht der betroffenen Person geht näher darauf ein, was für jeden dieser Anträge als ein gültiger Antrag zählt und was nicht.
Was dies für Ihre Organisation bedeutet
In der Praxis funktioniert es am besten, wenn alle, die Kundenkontakt haben, wissen, dass Sätze wie "entfernen Sie mich aus Ihrer Datei" oder "senden Sie mir alles, was Sie von mir haben" ein Signal sind, das an die Person weitergeleitet werden muss, die Anfragen bearbeitet. Das ist keine rechtliche Schulung, sondern das Erkennen eines Musters. Erst wenn die Anfrage erkannt und weitergeleitet wurde, stellt sich die Frage, wie Sie sie identifizieren, was genau Sie bereitstellen müssen und innerhalb welcher Frist.
Die DSGVO selbst sieht für die Beantwortung einer Anfrage eine Frist von einem Monat vor, mit der Möglichkeit, diese in komplizierteren Fällen zu verlängern. Diese Frist läuft ab dem Moment, in dem die Anfrage gestellt wird, nicht ab dem Moment, in dem sie die richtige Person erreicht. Wer diese Frist überwachen möchte, ohne sich daran manuell erinnern zu müssen, kann dies über ein System laufen lassen, das die Uhr automatisch startet. wie gdpria.eu diese Frist überwacht zeigt, worauf diese Automatisierung basiert.
Was Sie tun können, wenn Sie unsicher sind
Nicht jede Nachricht, die wie eine Anfrage aussieht, ist auch eine, und nicht jede Anfrage muss vollständig erfüllt werden. Unsicherheit darüber gehört zur Ausführung, nicht zur Erkennung: Sobald jemand zu verstehen gibt, dass er eines seiner Rechte nutzen möchte, ist es an Ihnen, das ernst zu nehmen und zu bewerten, gegebenenfalls mit einem Anwalt oder der Autoriteit Persoonsgegevens, was genau geschehen muss. Antworten auf Fragen, die Unternehmen häufig dazu stellen behandelt eine Reihe dieser Grenzfälle.
Möchten Sie wissen, wo Ihre Organisation steht, bevor tatsächlich eine Anfrage eingeht? Der kostenlose Quick-Check auf Datenschutzverletzung und Anfragen in wenigen Fragen transparent machen gibt einen ersten Anhaltspunkt, und die Wissensdatenbank erklärt für jedes Recht, was die DSGVO dazu sagt, mit der Fundstelle.