Wie gut geht Ihre Organisation mit Auskunftsersuchen betroffener Personen (DSAR) um?

Alle Organisationen müssen darauf vorbereitet und in der Lage sein, auf Auskunftsersuchen betroffener Personen (DSARs) zu reagieren; wie gut sind Sie darauf vorbereitet? 

Für alle Unternehmen und Organisationen, ob privat oder öffentlich, ist es von entscheidender Bedeutung zu verstehen, dass alle betroffenen Personen aufgrund von Artikel 15 der Datenschutz-Grundverordnung (DSGVO) umfassende Rechte auf Auskunft über die über sie gespeicherten personenbezogenen Daten haben.  Diese als „Auskunftsersuchen betroffener Personen“ (Data Subject Access Requests, DSAR) bezeichneten Anträge können von betroffenen Personen entweder mündlich oder schriftlich gestellt werden, und sie haben ihrerseits einen gesetzlichen Anspruch auf eine umgehende und umfassende Antwort.  In diesem Artikel erläutern wir die Auswirkungen von DSARs im Zusammenhang mit den Datenschutzbestimmungen und zeigen auf, wie Unternehmen sicherstellen können, dass sie auf solche Anfragen vorbereitet sind.

Was genau besagt Artikel 15 der DSGVO?

Artikel 15 der DSGVO regelt das Auskunftsrecht der betroffenen Personen. Dort heißt es konkret:

„Die betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden, und, falls dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten.“

In dem Artikel heißt es ferner, dass die betroffene Person zusätzlich zu einer Kopie der über sie gespeicherten Daten Anspruch auf Informationen (sogenannte „ergänzende Informationen“) über den Zweck der Datenverarbeitung, die betroffenen Datenkategorien, die Empfänger, die Speicherdauer, das Bestehen von Rechten auf Berichtigung, Einschränkung der Verarbeitung, Löschung und Widerspruch sowie das Recht auf Beschwerde, die Quelle der Informationen und das Vorliegen einer automatisierten Entscheidungsfindung (z. B. Profiling).

Sollten die Daten zudem in ein Drittland oder an eine internationale Organisation übermittelt werden, hat die betroffene Person das Recht, Auskunft über die im Zusammenhang mit der Übermittlung getroffenen Schutzmaßnahmen zu erhalten.

Bearbeitung eines DSAR-Antrags gemäß den Vorschriften

Die Einführung einer gut durchdachten und umfassenden schriftlichen Richtlinie für die Bearbeitung von Zugriffsanfragen stellt sicher, dass Ihre Organisation alle DSAR-Anfragen stets streng nach den jeweils geltenden gesetzlichen Bestimmungen bearbeitet.  Dies beginnt bereits mit dem Eingang eines Antrags. Es ist wichtig zu verstehen, dass sich ein DSAR-Antrag von einer Beschwerde oder einer Anfrage unterscheidet; ein DSAR-Antrag dient ausdrücklich dazu, eine Kopie der personenbezogenen Daten anzufordern, die sich im Besitz eines für die Datenverarbeitung Verantwortlichen befinden.  Der Antrag muss jedoch nicht ausdrücklich die Begriffe „Auskunftsersuchen der betroffenen Person“ oder „Auskunftsersuchen“ enthalten, um als formeller Antrag auf Auskunft über personenbezogene Daten zu gelten; daher müssen Sie sicherstellen, dass Ihre Mitarbeiter solche Anfragen als solche erkennen, unabhängig davon, ob sie schriftlich, elektronisch oder mündlich eingehen.

Wird die Anfrage mündlich gestellt, ist es wichtig, zu überlegen, wie diese festgehalten und dokumentiert werden soll, und die Einzelheiten der Anfrage mit dem Anfragenden zu klären.

Sobald ein DSAR erkannt wurde, ist es wichtig, dass die Bearbeitung des Antrags einem standardisierten Verfahren gemäß den Richtlinien Ihrer Organisation folgt. Dies muss Folgendes umfassen:

1. a) Überprüfung der Identität des Antragstellers (um Fälle von Diebstahl personenbezogener Daten und Betrug zu vermeiden)
2. b) Wissen, unter welchen Umständen ein Antrag abgelehnt werden sollte
3. c) Empfangsbestätigung eines Antrags
4. d) Bei Bedarf weitere Angaben anfordern, um das Verfahren zur Beantragung des Zugangs abzuschließen
5. e) Die personenbezogenen Daten und etwaige ergänzende Informationen (siehe obige Auflistung), die auf eine Anfrage hin bereitzustellen sind
6. f) Die Fristen für die Beantwortung (ein Monat ab dem Datum der Anfrage) und die Voraussetzungen für eine etwaige Verlängerung
7. g) Vorgaben zur Verständlichkeit der Sprache (insbesondere bei der Kommunikation mit einem Kind)
8. h) Wie man mit Anfragen bezüglich anderer Personen umgeht

Sobald Sie über einen Identitätsnachweis und alle weiteren für die Bearbeitung des Antrags erforderlichen Informationen verfügen, müssen Sie alle relevanten personenbezogenen Daten zusammenstellen, die Ihre Organisation gespeichert hat – unabhängig davon, ob diese in elektronischer Form oder auf Papier vorliegen.  Sollten die Informationen über den Antragsteller Angaben zu anderen Personen enthalten, muss entschieden werden, ob diese geschwärzt werden sollten oder ob ihre Offenlegung unbedenklich ist (dies sollte in der internen DSAR-Richtlinie erläutert werden).

Die formelle Antwort an den Antragsteller muss innerhalb der festgelegten Frist von einem Monat in klarer, fachsprachfreier Form erfolgen. Mit anderen Worten: Alle bereitgestellten Informationen müssen für den Durchschnittsbürger verständlich sein (unter Berücksichtigung der Bedürfnisse von Kindern).

Die Frist für eine förmliche Antwort kann bei Bedarf verlängert werden (um maximal zwei weitere Monate); die Begründung hierfür muss jedoch innerhalb eines Monats nach Eingang des Antrags vorgelegt werden.

Für manche Organisationen kann es effizienter sein, ein sicheres „Self-Service“-Portal einzurichten, über das Einzelpersonen gegebenenfalls die gesuchten Informationen selbst finden können.

Was ist, wenn Ihre Organisation einen externen Auftragsverarbeiter einsetzt?

Häufig herrscht Unklarheit darüber, wer einen DSAR-Antrag bearbeiten muss, wenn ein externer Auftragsverarbeiter eingesetzt wird. Die Rechtslage ist in dieser Frage eindeutig: Unabhängig davon, ob Sie eine Verarbeitungsaufgabe auslagern, ist der für die Datenverarbeitung Verantwortliche, der die Verarbeitung in Auftrag gegeben hat, für die Beantwortung eines DSAR-Antrags verantwortlich.  Das Information Commissioner’s Office (ICO) stellt klar, dass ein Verantwortlicher einen ausreichend detaillierten Vertrag mit seinem Auftragsverarbeiter abschließen muss, um sicherzustellen, dass alle Auskunftsersuchen von betroffenen Personen ordnungsgemäß bearbeitet und beantwortet werden. Mit anderen Worten: Die Auslagerung entbindet eine Organisation nicht von ihren Verpflichtungen gemäß der DSGVO, wenn es um Auskunftsersuchen geht.

Zusammenfassend lässt sich sagen, dass

Die Bearbeitung von DSARs kann jede Organisation unter erheblichen Ressourcen-Druck setzen. Durch die Erstellung eines klaren Richtlinien-Dokuments, das den gesamten Prozess zur Erkennung, Bearbeitung und Beantwortung aller DSARs beschreibt, können Sie sicherstellen, dass Ihre Organisation jede Anfrage einheitlich, mit minimalem Aufwand und innerhalb der vorgeschriebenen Fristen bearbeitet.  Sollten Sie Zweifel daran haben, ob Ihr Unternehmen in der Lage ist, auf einen DSAR zu reagieren, können Sie durch die Hinzuziehung von Spezialisten auf dem Gebiet der Informationsoffenlegung und der DSGVO rasch ein System einrichten, das Ihren Anforderungen über Jahre hinweg gerecht wird und Sie vor unnötigen potenziellen Beschwerden oder rechtlichen Schritten aufgrund schlecht bearbeiteter Anfragen schützt.  Wenn es um DSARs geht, sind Vorbereitung, Schulung und die regelmäßige Überprüfung Ihrer laufenden rechtlichen Verpflichtungen der Schlüssel zum Erfolg.

Lineal ist ein weltweit führender Anbieter von eDiscovery- und DSAR-Dienstleistungen. Wenn Sie mehr über unsere Dienstleistungen erfahren möchten, rufen Sie uns bitte unter +44 (0)20 7940 4799 an oder senden Sie eine E-Mail an info@linealservices.com.