Umgang mit Anfragen von Betroffenen

"Betroffene Personen" haben umfangreiche Rechte bezüglich der Verarbeitung ihrer personenbezogenen Daten. U.a. können diese sich bei einer Aufsichtsbehörde über Sie beschweren. In diesem Artikel geht es nur um die Rechte Ihnen gegenüber: Betroffene haben gegenüber dem Verantwortlichen ein Recht auf Löschung, Berichtigung, Auskunft und Einschränkung (der Verarbeitung), sowie auf Widerspruch und Widerruf.

Sie haben eine Betroffenenanfrage erhalten? Jetzt gilt es, diese inhaltlich zu prüfen und unverzüglich zu beantworten. Die Nichtbeantwortung kann ernste Konsequenzen wie hohe Bußgelder, eine behördliche Datenschutzprüfung oder Schadensersatzklagen nach sich ziehen.

Möglicherweise ist die Betroffenenanfrage auch ganz anders motiviert. Sie sollten versuchen dies herauszufinden.

Schritt 1: Bearbeitung von Betroffenenanfragen

Unabhängig von einer konkreten Anfrage sollten Sie überlegen, auf welchen Wegen Anfragen gestellt werden könnten und festlegen, wer sich dann darum kümmert: Sollen diese zentral bearbeitet oder direkt an eine Fachabteilung weitergeleitet werden?

Erhalten Sie nur selten Betroffenenanfragen empfiehlt sich die Bearbeitung der Anfragen durch Ihre:n DSK/DSB. Erhalten Sie hingegen regelmäßig Betroffenenanfragen, erscheint ein Verwaltungssystem für Betroffenenanfragen oder die direkte Bearbeitung durch die jeweilige Fachabteilung sinnvoller.

Wenn die Bearbeitung der Anfrage voraussichtlich mehr als drei Werktage dauert oder durch eine andere Abteilung erfolgt, sollten sie der betroffenen Person zunächst den Eingang ihrer Anfrage bestätigen.

Prüfen Sie die Anfrage anschließend inhaltlich.

Schritt 2: Welche Rechte haben Betroffene?

Zunächst gilt es festzustellen, welches Recht die betroffene Person durch ihre Anfrage geltend machen will. Hilfreich sind dabei vor allem Schlagworte, die auf verschiedene Rechte hinweisen. Im folgenden Abschnitt finden Sie beispielhaft einige der Standardformulierungen und was diese im Kontext einer Betroffenenanfrage bedeuten können. Beachten Sie, dass durch eine Anfrage ggf. mehrere Rechte geltend gemacht werden.

Widerspruch (einer Verarbeitung ohne Einwilligung)

Widerspricht eine betroffene Person der Verarbeitung, dürfen Sie diese Daten nicht weiter verarbeiten. Eine weitere Verarbeitung ist möglicherweise dennoch zulässig, wenn schutzwürdige Gründe (z.B. Geltendmachung von Rechtsansprüchen) für die Verarbeitung vorliegen. Dem könnten Interessen des Betroffen an deren Nichtverarbeitung entgegenstehen. Sie müssen begründen, welcher Position Sie die höhere Gewichtung einräumen.

Gegen bestimmte Verarbeitungen, wie der Direktwerbung kann die betroffene Person explizit Widerspruch einlegen. In diesem Fall dürfen Sie die Daten nicht mehr zu diesem Zweck verarbeiten und somit die betroffene Person z.B. nicht weiter bewerben.

Widerruf (einer Einwilligung)

Widerruft die betroffene Person ihre Einwilligung, dürfen Sie die auf dieser Rechtsgrundlage vorgenommene Verarbeitung nicht fortsetzen. Der Widerruf wirkt nicht rückwirkend, sondern bezieht sich ausschließlich auf die zukünftige Verarbeitung.

Zwar muss die Widerrufserklärung hinreichend bestimmt sein, bei Unklarheiten trifft Sie allerdings die Pflicht, diese durch Nachfragen zu klären, sodass Sie in jedem Falle auch bei unzureichend bestimmten Erklärungen tätig werden müssen. Die Widerrufserklärung muss im Gegensatz zum Widerspruch nicht gesondert begründet sein.

Der Betroffene kann durch eine ausdrückliche oder konkludente Erklärung sein Widerrufsrecht geltend machen und seine zuvor erteilte Einwilliung widerrufen. Mit dem Widerruf entfällt der Erlaubnistatbestand der Einwilligung, sodass die Datenverarbeitung nicht weiter rechtmäßig ist, sofern nicht ein anderer gesetzlich normierter Erlaubnistatbestand einschlägig ist.

Löschung

Sie müssen Daten löschen, wenn der Zweck für deren Verarbeitung nicht mehr besteht. Weiterhin kann eine betroffene Person die Löschung ihrer Daten aus bestimmten Gründen verlangen. Trifft ein in der DSGVO genannter Grund zu, sind Sie zur unverzüglichen Löschung der Daten verpflichtet. Dem Löschersuchen kann z.B. eine Aufbewahrungspflicht entgegenstehen.

Können Daten aus technischen Gründen nicht physisch gelöscht werden, kommt hilfsweise (=bis zur Einrichtung einer Möglichkeit zur tatsächlichen Löschung) eine Sperrung, Teillöschung, Pseudonymisierung oder Anonymisierung in Betracht.

Einschränkung der Verarbeitung

Der Betroffenen kann unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung seiner personenbezogenen Daten verlangen. Sie dürfen die betroffenen Daten zwar weiterhin speichern, die Verarbeitung unterliegt allerdings einer verschärften Zweckbindung und darf nur den gesetzlichen Zwecken dienen. Dies kommt auch in Betracht, wenn der Betroffene sicherstellen möchte, dass Daten noch nicht gelöscht werden (z.B. weil er sie als Beweis nutzen möchte).

Auskunft

Die betroffene Person kann (umfangreiche) Auskunft darüber verlangen, ob und welche Daten zur eigenen Person verarbeitet werden. Sofern Sie Daten der Person verarbeiten, müssen Sie die Datenkategorien, Zwecke, Rechtsgrundlagen, Empfänger, etc. aller diesbezüglichen Verarbeitung nennen. Auf Verlangen müssen Sie auch eine Kopie dieser Daten bereitstellen, ggfs. in einer bestimmten Art.

Berichtigung

Der Betroffene hat das Recht, die Berichtigung oder Vervollständigung seiner von Ihnen verarbeiteten personenbezogenen Daten zu verlangen. Unrichtige Daten sind auch ohne Antrag zu richtigzustellen.

Unklare Formulierungen

Manchmal ist die vom Betroffene gewählte Formulierung nicht eindeutig. Sie sollten nur das direkt umsetzen, was offenkundig gewollt ist. Den Rest sollten Sie beim Betroffenen erfragen. Damit können sie in Summe dessen Anliegen bestmöglich entsprechen und laufen nicht Gefahr, Daten z.B. fälschlicherweise vorschnell zu löschen.

Schritt 3: Identifizierung der anfragenden Person

Personenbezogene Daten müssen vor unbefugter Einsichtnahme und Löschung geschützt werden. Daher müssen Sie als Verantwortlicher die anfragende Person zweifelsfrei identifizieren. Nur so wissen sie, ob Sie einer Betroffenenanfrage tatsächlich entsprechen dürfen.

Es obliegt Ihnen als Verantwortlicher, ein geeignetes Mittel zu wählen, um die anfragende Person zu identifizieren. Geeignet ist jedes Mittel, dass zur Identifikation der anfragenden Person im Stande ist.

Da die Identifizierung sowohl für den Verantwortlichen als auch für die Betroffenen lästig ist, darf und sollte das einfachste Verfahren gewählt werden und noch ein hinreichendes Schutzniveau bietet.

→ Dazu tritt der Grundsatz der Verhältnismäßigkeit ein. Es gilt, ein Mittel zu wählen, dass im Verhältnis zur Sensibilität der betroffenen Daten angemessene Sicherheitsgarantien bietet und damit ein adäquates Schutzniveau gewährleistet. Dabei sollten sowohl Art und Umfang der betroffenen Daten als auch das Risiko für die Grundrechte und Grundfreiheiten der betroffenen Person sowie die Gefahr, die dem Betroffenen bei einer Datenweitergabe an unbefugte Dritte droht, in Ihre Überlegungen mit einfließen und mit den Sicherheitsgarantien der unterschiedlichen Identifizierungsmethoden in Verhältnis gesetzt werden.

Hier überwiegen die Sicherheitsgarantien der angwendeten Identifizierungmethode (Identifizierung per Video) der Sensibilität des Datums deutlich, sodass eine Identifizierung per Video unverhältnismäßig ist. Bei einem solch unsensiblen Datum und einer verhältnismäßig geringen Gefahr für den Betroffenen erscheint die Identifizierung per Mail ausreichend.

Die Identifizierung anhand des in der E-Mail genannten Namens war jedenfalls nicht hinreichend, da die Sensibilität der Daten hier den Sicherheitsgarantien der Identifizierungsmethode (Name in E-Mail) wesentlich überwiegt und die Identifizierungsmethode so nicht als verhältnismäßig erscheint. Gerade da es sich um hochsensible Daten sowie eine unbekannte E-Mail Adresse handelt ist eine Identifizierung mit einer Identifizierungsmethode, die hohe Sicherheitsgarantien bietet, unterlässlich. Denkbar wäre allerdings eine Identifizierung per Video oder durch eine Kopie des Personalausweis sowie das persönliche Vorbeikommen des K.

Möglichkeiten der Identifizierung

Idealfall

Ein Nutzerkonto ist vorhanden und Anträge können im eingeloggten Bereich bereitgestellt werden.

E-Mail / Brief

Ist die hinterlegte (E-Mail-)Adresse bekannt, ist dies ggf. ausreichend (je nach Schutzbedarf).

Der Absender ist eine unbekannte (E-Mail-)Adresse → Auskunft an hinterlegte Adresse, ggf. weitergehende Identifikation nötig!

Telefon/Video

Bei persönlich bekannten Personen ist die Wiedererkennung der Stimme ggf. ausreichend ; Vorsicht: technische Möglichkeiten zur Nachahmung beliebiger Stimm-Muster mit KI

Abfrage zusätzlicher informationen wie Adresse, pin (in ausnahmen) usw. (Achtung: Verwandte und Nahestehende könnten ebenfalls Antworten auf angefragte Informationen haben)

Ausweis

Könnte man sich schicken lassen oder ggf. einn Video-Ident-Verfahren nutzen. (Achtung: Hinweis auf Abdecken/Schwärzung nicht benötigter Daten; Übertragungsweg muss sicher sein)

eIDAS

Problem hierbei ist, dass diese Methode noch nicht in größerem Umfang genutzt wird.

Schritt 4: Wie antworte ich dem Betroffenen?

Sie sollten Betroffenenanfragen unverzüglich beantworten. Spätestens einen Monat nach Eingang der Anfrage sollte diese vollständig beantwortet sein. Nur wenn die Zusammenstellung der Daten sachlich begründbar besonders aufwändig ist, können Sie dem Betroffenen mitteilen, wann die finale Antwort erfolgt.

Wie Sie der betroffenen Person antworten hängt maßgeblich davon ab, ob und inwieweit sie der Betroffenenanfrage nachkommen müssen.

Fall 1: Wenn Sie der Anfrage nachkommen müssen

Benachrichtigen Sie den Betroffenen über die Umsetzung seiner Anfrage. Handelt es sich um ein Auskunftsersuchen übermitteln Sie dem Betroffenen anbei die angeforderten Informationen. Stellen Sie intern sicher, dass Sie die Betroffenenanfrage tatsächlich umsetzen. Verlangt eine betroffene Person die Löschung ihrer Daten, müssen diese auch wirklich aus allen Systemen gelöscht werden.

Fall 2: Wenn sie der Anfrage nicht nachkommen müssen

Sie müssen der betroffenen Person mitteilen, dass Sie ihrer Anfrage nicht entsprechen können. Dabei sollten Sie Ihre Entscheidung begründen.

Fall 3: Unklare Anfrage

Eine betroffene Person kann durch ihre Anfrage mehrere Rechte geltend machen. Erhalten sie beispielsweise ein Lösch- und Auskunftsersuchen ist fraglich, in welcher Reihenfolge sie die Teilanfragen umsetzen. Wenn sie zuerst löschen können sie keine Auskunft mehr erteilen. Versuchen Sie daher durch Kommunikation mit der betroffenen Person zu ermitteln, wie die Anfrage gemeint war.

Fall 4: Unvorhersehbare Folgen für den Betroffenen

Wenn die Umsetzung einer Betroffenenanfrage für die betroffene Person selbst unvorhersehbare Folgen mit sich bringen würde, müssen Sie ihr diese Folgen aufzeigen. Sie müssen die Interessen der betroffenen Person berücksichtigen und klären ob die Anfrage wirklich umgesetzt werden soll.

Was kann passieren, wenn ich nicht rechtzeitig reagiere?

Betroffene wenden sich meist aus einem bestimmten Anlass an Sie. Wenn Sie nun nicht oder langsam reagieren führt das oft zu weiterem Unmut.

Betroffenen bleibt dann nur der Weg über die zuständige Aufsichtsbehörde. Aufsichtsbehörden lassen sich in der Regel zuerst das Verzeichnis von Verarbeitungstätigkeiten und den Prozess zur Beantwortung von Betroffenenanfragen geben. Sofern sie das nicht sinnvoll beantworten provozieren Sie eine Datenschutzprüfung.

Betroffene können auch versuchen, ihre Rechte mit anwaltlicher Hilfe gerichtlich durchzusetzen oder Schadensersatzansprüche gegen Sie geltend zu machen.

Daher sollten Sie zunächst klären, was die Betroffenen "eigentlich" wollen, schnell reagieren und deeskalierende Formulierungen verwenden.

Schritt 5: Abschluss

Weitere Auskünfte

Verlangt die betroffene Person nach erteilter Auskunft weitere oder detailliertere Informationen sollten Sie mit ihr in Kontakt treten. Eine detaillierte Auskunft über alle Verarbeitungsprozesse und gespeicherten Daten ist zeit- und kostenaufwändig und oft nicht gewinnbringend. Meist interessiert die betroffene Person nämlich lediglich ein spezifischer Bereich oder Prozess. Fragen Sie also nach, welche Daten die betroffene Person konkret interessieren und vor allem, welche Daten sie nicht interessieren. So können Sie der betroffenen Person genau die Daten liefern, die sie wirklich braucht.

Folgeaktionen

Es kann sein, dass sich aus der Anfrage und Ihren daraus resultierenden Aktionen ergibt, dass Sie über die Anfrage hinaus tätig werden müssen.

Nach der vollständigen Bearbeitung der Betroffenenanfrage stellt sich die Frage, was mit den damit verbundenen Dokumenten (z.B. E-Mails, Identifizierung) passieren soll. Sie müssen nachweisen, dass Sie korrekt auf Betroffenenanfragen reagiert haben. Bzgl. der Aufbewahrungsdauer gilt nationales Recht. Es gilt daher die Verjährung nach BGB. Dokumente müssen daher bis zum Jahresende drei Jahre ab Abschluss der Betroffenenanfrage aufbewahrt werden. Danach sind alle zugehörigen Dokumente zu löschen.

Da Sie die Daten nun nicht mehr benötigen, müssen Sie nicht nur ein "Sperrvermerk" setzen, sondern den Datensatz vollständig löschen.

Umgang mit Missbrauch

Zur Erinnerung: Dieser gesamte Leitfaden dient lediglich zur Orientierung und sollte dementsprechend auch nur in einfachen Fällen Anwendung finden. Bei komplexen Sachverhalten und dem Verdacht auf missbräuchliche Ausübung der Betroffenenrechte kontaktieren sie bitte Ihre:n Datenschutzbeauftragte:n und/oder Anwalt.

Betroffenenrechte nach DSGVO sind vom Verantwortlichen unentgeltlich bereitzustellen. Davon ausgenommen sind exzessive und offensichtlich unbegründete Anträge - hier kann ein angemessenes Entgelt verlangt werden oder die Bearbeitung verweigert werden. Die Beweislast über die Unbegründetheit oder den exzessiven Charakter der Anfrage tragen Sie als Verantwortlicher. Beide Ausnahmetatbestände sind restriktiv auszulegen sodass Sie sich erst nach Rücksprache mit Ihrem Anwalt/DSB auf diese berufen sollten.

Offenkundig unbegründete Anträge

Ein offenkundig unbegründeter Antrag liegt vor, wenn die Antragsvoraussetzungen offensichtlich und für den Durchschnittsmenschen erkennbar nicht erfüllt sind.

Exzessive Anträge

Exzessive Anträge sind insb. häufig wiederholte Anfragen mit gleichen oder ähnliche Forderungen, aber auch andere Anträge mit rechtsmissbräuchlichem Charakter. Es ist daher danach zu fragen, welches Schutzziel von der DSGVO umfasst ist. Dies ist (mit den Worten des BGH) das Recht auf "informationelle Selbstbestimmung".

Hier möchte der Patient die Zahlung der für die Bereitstellung einer Patientenakte nach Krankenhausgesetz fällige Gebühr umgehen.

Einsicht und Herausgabe der Patientenakte nicht vom Schutzzweck der DSGVO umfasst.

Hier wird bewusst nach fehlerhaften Webseiten gesucht ohne dass ein Mensch diese anschaut.