Welche Dokumente benötigen Sie bei einer Auskunfts- oder Löschaufforderung?
Wenn jemand Sie auffordert, ihm Auskunft über seine Daten zu geben oder diese zu löschen, benötigen Sie mehrere Unterlagen, um diesen Antrag ordnungsgemäß zu bearbeiten: eine Empfangsbestätigung mit Datum, ein Verfahren zur Überprüfung der Identität des Antragstellers, einen Überblick darüber, welche Daten Sie tatsächlich über diese Person verarbeiten, einen schriftlichen Bescheid mit Begründung und gegebenenfalls einen Bericht, in dem Sie die Frist verlängern. Zusammen bilden diese Unterlagen die Akte, mit der Sie nachweisen können, was verlangt wurde und was Sie damit getan haben.
Der Teil, über den die meiste Unsicherheit besteht, ist nicht die Liste selbst, sondern die Identitätsprüfung. Zu wenig nachzufragen ist ein Risiko, da Sie sonst möglicherweise Daten an die falsche Person weitergeben; zu viel nachzufragen ist auch ein Risiko, da die DSGVO gerade verlangt, nicht mehr Daten anzufordern als notwendig, um die Identität festzustellen. Eine vollständige Kopie eines Ausweisdokuments ist dafür normalerweise nicht erforderlich und bringt zudem neue Daten ins Spiel, die Sie schützen und rechtzeitig löschen müssen.
Identität feststellen ohne Übererfassung
In der Praxis funktioniert es oft mit Daten, die Sie bereits haben: eine Kundennummer, eine zuvor bekannte E-Mail-Adresse oder eine kurze Rückrufbestätigung. Nur wenn Zweifel darüber bestehen, wer den Antrag stellt, ist eine zusätzliche Überprüfung angebracht. Die Autoriteit Persoonsgegevens und die EDPB-Leitlinien widmen diesem Punkt explizit Aufmerksamkeit, genau weil dies der Punkt ist, an dem Organisationen am häufigsten überreagieren. Ein festes Verfahren zur Identitätsprüfung, das Sie einmalig festlegen und dann wiederholen, verhindert, dass Sie dies jedes Mal neu erfinden müssen.
Was gehört sonst noch in die Akte
Neben der Identitätsprüfung sollte die Akte einen Überblick über die verarbeiteten Daten selbst enthalten: woher sie stammen, mit wem sie weitergegeben wurden und wie lange Sie sie bereits haben. Diesen Überblick entnehmen Sie in der Praxis aus Ihrem Verzeichnis der Verarbeitungstätigkeiten, falls dieses in Ordnung ist. Ohne Register müssen Sie dies für jeden Antrag manuell in Ihren Systemen heraussuchen, was mehr Zeit kostet und mehr Chancen für eine unvollständige Antwort gibt. In der Wissensdatenbank finden Sie für jede Situation erklärt, was eine vollständige Antwort ausmacht.
Bei einer Löschaufforderung kommt ein zusätzliches Dokument hinzu: die Abwägung, ob es eine gesetzliche Aufbewahrungspflicht gibt, die das Löschen (vorübergehend) verhindert, beispielsweise bei Steuerdaten. Diese Abwägung dokumentieren Sie schriftlich, auch wenn das Ergebnis ist, dass Sie (ganz oder teilweise) nicht löschen. Dieses Dokument ist ebenso wichtig wie die Löschung selbst, da es zeigt, dass eine bewusste Entscheidung getroffen wurde und kein Antrag vergessen wurde.
Warum dies mit Ihrem Register und Ihren Tools zusammenhängt
Eine Auskunfts- oder Löschaufforderung betrifft selten nur ein System. Kundendaten befinden sich oft gleichzeitig in einem CRM, einem Buchhaltungspaket und einem E-Mail-Programm, und bei jedem stellt sich die Frage, ob und wie lange eine Löschung möglich ist. Wer im Voraus plant, welche SaaS-Tools welche Daten enthalten, muss das nicht bei jedem Antrag neu herausfinden. Ob Ihre Einstellungen dabei dem entsprechen, was die Verordnung verlangt, können Sie überprüfen über die Erläuterungen zu Datenschutz und Datensicherheit.
Auch der Bescheid selbst ist ein Dokument: ein kurzes Schreiben oder eine E-Mail, in dem steht, was verlangt wurde, was Sie getan haben und innerhalb welcher Frist. Diese Frist ist in der Verordnung festgelegt und läuft ab dem Zeitpunkt des Empfangs, nicht ab dem Zeitpunkt, an dem Sie Zeit haben, sich darum zu kümmern. Eine Übersicht über häufig gestellte Fragen zu diesen Fristen und Ausnahmen finden Sie bei der häufig gestellte Fragen zu Ersuchen von betroffenen Personen.
Dokumentation lohnt sich, auch nach der Bearbeitung
Die Akte, die Sie bei einer Anfrage aufbauen, ist nicht nur für diesen einen Moment bestimmt. Sie zeigt auch, falls eine Aufsichtsbehörde oder die betroffene Person später danach fragt, dass die Anfrage erkannt, bewertet und innerhalb der festgelegten Frist bearbeitet wurde. Ob Ihr derzeitiges Verfahren dies bereits abdeckt, können Sie am besten mit einem Juristen oder mit der Autorität Persoonsgegevens besprechen, wenn Sie sich in einer konkreten Situation unsicher sind.
Möchten Sie in wenigen Minuten sehen, wie dies für Ihr Unternehmen konkret aussieht, ohne dass Sie zuerst alles selbst recherchieren müssen? Führen Sie den kostenlosen Quick-Scan durch oder starten Sie ein geschäftliches Konto, um Ihr Register und Ihre Anfragen übersichtlich zu verwalten.