Umgang mit Anfragen von Betroffenen

"Betroffene Personen" haben umfangreiche Rechte bezüglich der Verarbeitung ihrer personenbezogenen Daten. U.a. können diese sich bei einer Aufsichtsbehörde über Sie beschweren. In diesem Artikel geht es nur um die Rechte Ihnen gegenüber: Betroffene haben gegenüber dem Verantwortlichen ein Recht auf Löschung, Berichtigung, Auskunft und Einschränkung (der Verarbeitung), sowie auf Widerspruch und Widerruf.

Sie haben eine Betroffenenanfrage erhalten? Jetzt gilt es, diese inhaltlich zu prüfen und unverzüglich zu beantworten. Die Nichtbeantwortung kann ernste Konsequenzen wie hohe Bußgelder, eine behördliche Datenschutzprüfung oder Schadensersatzklagen nach sich ziehen.

Möglicherweise ist die Betroffenenanfrage auch ganz anders motiviert. Sie sollten versuchen dies herauszufinden.

Schritt 1: Bearbeitung von Betroffenenanfragen

Unabhängig von einer konkreten Anfrage sollten Sie überlegen, auf welchen Wegen Anfragen gestellt werden könnten und festlegen, wer sich dann darum kümmert: Sollen diese zentral bearbeitet oder direkt an eine Fachabteilung weitergeleitet werden?

Erhalten Sie nur selten Betroffenenanfragen empfiehlt sich die Bearbeitung der Anfragen durch Ihre:n DSK/DSB. Erhalten Sie hingegen regelmäßig Betroffenenanfragen, erscheint ein Verwaltungssystem für Betroffenenanfragen oder die direkte Bearbeitung durch die jeweilige Fachabteilung sinnvoller.

Wenn die Bearbeitung der Anfrage voraussichtlich mehr als drei Werktage dauert oder durch eine andere Abteilung erfolgt, sollten sie der betroffenen Person zunächst den Eingang ihrer Anfrage bestätigen.

Prüfen Sie die Anfrage anschließend inhaltlich.

Schritt 2: Welche Rechte haben Betroffene?

Zunächst gilt es festzustellen, welches Recht die betroffene Person durch ihre Anfrage geltend machen will. Hilfreich sind dabei vor allem Schlagworte, die auf verschiedene Rechte hinweisen. Im folgenden Abschnitt finden Sie beispielhaft einige der Standardformulierungen und was diese im Kontext einer Betroffenenanfrage bedeuten können. Beachten Sie, dass durch eine Anfrage ggf. mehrere Rechte geltend gemacht werden.

Widerspruch (einer Verarbeitung ohne Einwilligung)

Widerspricht eine betroffene Person der Verarbeitung, dürfen Sie diese Daten nicht weiter verarbeiten. Eine weitere Verarbeitung ist möglicherweise dennoch zulässig, wenn schutzwürdige Gründe (z.B. Geltendmachung von Rechtsansprüchen) für die Verarbeitung vorliegen. Dem könnten Interessen des Betroffen an deren Nichtverarbeitung entgegenstehen. Sie müssen begründen, welcher Position Sie die höhere Gewichtung einräumen.

Gegen bestimmte Verarbeitungen, wie der Direktwerbung kann die betroffene Person explizit Widerspruch einlegen. In diesem Fall dürfen Sie die Daten nicht mehr zu diesem Zweck verarbeiten und somit die betroffene Person z.B. nicht weiter bewerben.

Widerruf (einer Einwilligung)

Widerruft die betroffene Person ihre Einwilligung, dürfen Sie die auf dieser Rechtsgrundlage vorgenommene Verarbeitung nicht fortsetzen. Der Widerruf wirkt nicht rückwirkend, sondern bezieht sich ausschließlich auf die zukünftige Verarbeitung.

Zwar muss die Widerrufserklärung hinreichend bestimmt sein, bei Unklarheiten trifft Sie allerdings die Pflicht, diese durch Nachfragen zu klären, sodass Sie in jedem Falle auch bei unzureichend bestimmten Erklärungen tätig werden müssen. Die Widerrufserklärung muss im Gegensatz zum Widerspruch nicht gesondert begründet sein.

Der Betroffene kann durch eine ausdrückliche oder konkludente Erklärung sein Widerrufsrecht geltend machen und seine zuvor erteilte Einwilligung widerrufen. Mit dem Widerruf entfällt der Erlaubnistatbestand der Einwilligung, sodass die Datenverarbeitung nicht weiter rechtmäßig ist, sofern nicht ein anderer gesetzlich normierter Erlaubnistatbestand einschlägig ist.

Löschung

Sie müssen Daten löschen, wenn der Zweck für deren Verarbeitung nicht mehr besteht. Weiterhin kann eine betroffene Person die Löschung ihrer Daten aus bestimmten Gründen verlangen. Trifft ein in der DSGVO genannter Grund zu, sind Sie zur unverzüglichen Löschung der Daten verpflichtet. Dem Löschersuchen kann z.B. eine Aufbewahrungspflicht entgegenstehen.

Können Daten aus technischen Gründen nicht physisch gelöscht werden, kommt hilfsweise (=bis zur Einrichtung einer Möglichkeit zur tatsächlichen Löschung) eine Sperrung, Teillöschung, Pseudonymisierung oder Anonymisierung in Betracht.

Einschränkung der Verarbeitung

Der Betroffenen kann unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung seiner personenbezogenen Daten verlangen. Sie dürfen die betroffenen Daten zwar weiterhin speichern, die Verarbeitung unterliegt allerdings einer verschärften Zweckbindung und darf nur den gesetzlichen Zwecken dienen. Dies kommt auch in Betracht, wenn der Betroffene sicherstellen möchte, dass Daten noch nicht gelöscht werden (z.B. weil er sie als Beweis nutzen möchte).

Auskunft

Die betroffene Person kann (umfangreiche) Auskunft darüber verlangen, ob und welche Daten zur eigenen Person verarbeitet werden. Sofern Sie Daten der Person verarbeiten, müssen Sie die Datenkategorien, Zwecke, Rechtsgrundlagen, Empfänger, etc. aller diesbezüglichen Verarbeitung nennen. Auf Verlangen müssen Sie auch eine Kopie dieser Daten bereitstellen, ggfs. in einer bestimmten Art.

Berichtigung

Der Betroffene hat das Recht, die Berichtigung oder Vervollständigung seiner von Ihnen verarbeiteten personenbezogenen Daten zu verlangen. Unrichtige Daten sind auch ohne Antrag zu richtigzustellen.

Unklare Formulierungen

Manchmal ist die vom Betroffene gewählte Formulierung nicht eindeutig. Sie sollten nur das direkt umsetzen, was offenkundig gewollt ist. Den Rest sollten Sie beim Betroffenen erfragen. Damit können sie in Summe dessen Anliegen bestmöglich entsprechen und laufen nicht Gefahr, Daten z.B. fälschlicherweise vorschnell zu löschen.

Schritt 3: Identifizierung der anfragenden Person

Personenbezogene Daten müssen vor unbefugter Einsicht und Löschung geschützt werden. Bevor Sie Auskunft geben oder löschen, müssen Sie daher hinreichend sicher sein, dass die Anfrage wirklich von der betroffenen Person stammt. Haben Sie begründete Zweifel, dürfen Sie zusätzliche Angaben zur Bestätigung der Identität anfordern.

Welches Mittel Sie wählen, entscheiden Sie. Wählen Sie das einfachste Verfahren, das dem Schutzbedarf der Daten gerecht wird, und fordern Sie nicht mehr Daten an als nötig: Je sensibler die Daten und je größer der Schaden bei einer Herausgabe an Unbefugte, desto sicherer muss die Identifizierung sein.

Möglichkeiten der Identifizierung

• Kundenkonto: Der Idealfall – die Person ist eingeloggt, Antrag und Antwort laufen über den geschützten Bereich.
• Bekannte Kontaktdaten: Kommt die Anfrage von der hinterlegten E-Mail- oder Postanschrift, genügt das bei normalem Schutzbedarf.
• Unbekannte Absenderadresse: Antworten Sie an die bei Ihnen hinterlegte Anschrift, oder fragen Sie Angaben ab, die nur die Person kennen kann (z.B. Kunden- oder Rechnungsnummer). Bedenken Sie: Angehörige kennen solche Angaben oft auch.
• Telefon oder Video: Bei persönlich bekannten Personen kann das Wiedererkennen genügen. Vorsicht: Stimmen lassen sich mit KI täuschend echt nachahmen.
• Ausweis: Nur wenn mildere Mittel nicht reichen, z.B. bei sensiblen Daten und unbekannter Person. Die Person darf nicht benötigte Angaben schwärzen; die Kopie muss als Kopie erkennbar sein (PAuswG), sicher übertragen und nach der Prüfung gelöscht werden. Besser: Vorlage vor Ort oder Online-Ausweisfunktion (eID).

Schritt 4: Wie antworte ich dem Betroffenen?

Antworten Sie unverzüglich, spätestens innerhalb eines Monats nach Eingang. Ist die Anfrage besonders komplex oder erhalten Sie sehr viele, können Sie die Frist um bis zu zwei weitere Monate verlängern. Das müssen Sie der Person aber innerhalb des ersten Monats mitteilen und begründen.

Wie Sie der betroffenen Person antworten hängt maßgeblich davon ab, ob und inwieweit sie der Betroffenenanfrage nachkommen müssen.

Fall 1: Wenn Sie der Anfrage nachkommen müssen

Benachrichtigen Sie den Betroffenen über die Umsetzung seiner Anfrage. Handelt es sich um ein Auskunftsersuchen übermitteln Sie dem Betroffenen anbei die angeforderten Informationen. Stellen Sie intern sicher, dass Sie die Betroffenenanfrage tatsächlich umsetzen. Verlangt eine betroffene Person die Löschung ihrer Daten, müssen diese auch wirklich aus allen Systemen gelöscht werden.

Fall 2: Wenn sie der Anfrage nicht nachkommen müssen

Sie müssen der betroffenen Person mitteilen, dass Sie ihrer Anfrage nicht entsprechen können. Dabei sollten Sie Ihre Entscheidung begründen.

Fall 3: Unklare Anfrage

Eine betroffene Person kann durch ihre Anfrage mehrere Rechte geltend machen. Erhalten sie beispielsweise ein Lösch- und Auskunftsersuchen ist fraglich, in welcher Reihenfolge sie die Teilanfragen umsetzen. Wenn sie zuerst löschen können sie keine Auskunft mehr erteilen. Versuchen Sie daher durch Kommunikation mit der betroffenen Person zu ermitteln, wie die Anfrage gemeint war.

Fall 4: Unvorhersehbare Folgen für den Betroffenen

Wenn die Umsetzung einer Betroffenenanfrage für die betroffene Person selbst unvorhersehbare Folgen mit sich bringen würde, müssen Sie ihr diese Folgen aufzeigen. Sie müssen die Interessen der betroffenen Person berücksichtigen und klären ob die Anfrage wirklich umgesetzt werden soll.

Was kann passieren, wenn ich nicht rechtzeitig reagiere?

Betroffene wenden sich meist aus einem bestimmten Anlass an Sie. Wenn Sie nun nicht oder langsam reagieren führt das oft zu weiterem Unmut.

Betroffenen bleibt dann nur der Weg über die zuständige Aufsichtsbehörde. Aufsichtsbehörden lassen sich in der Regel zuerst das Verzeichnis von Verarbeitungstätigkeiten und den Prozess zur Beantwortung von Betroffenenanfragen geben. Sofern sie das nicht sinnvoll beantworten provozieren Sie eine Datenschutzprüfung.

Betroffene können auch versuchen, ihre Rechte mit anwaltlicher Hilfe gerichtlich durchzusetzen oder Schadensersatzansprüche gegen Sie geltend zu machen.

Daher sollten Sie zunächst klären, was die Betroffenen "eigentlich" wollen, schnell reagieren und deeskalierende Formulierungen verwenden.

Schritt 5: Abschluss

Weitere Auskünfte

Verlangt die betroffene Person nach erteilter Auskunft weitere oder detailliertere Informationen sollten Sie mit ihr in Kontakt treten. Eine detaillierte Auskunft über alle Verarbeitungsprozesse und gespeicherten Daten ist zeit- und kostenaufwändig und oft nicht gewinnbringend. Meist interessiert die betroffene Person nämlich lediglich ein spezifischer Bereich oder Prozess. Fragen Sie also nach, welche Daten die betroffene Person konkret interessieren und vor allem, welche Daten sie nicht interessieren. So können Sie der betroffenen Person genau die Daten liefern, die sie wirklich braucht.

Folgeaktionen

Es kann sein, dass sich aus der Anfrage und Ihren daraus resultierenden Aktionen ergibt, dass Sie über die Anfrage hinaus tätig werden müssen.

Bewahren Sie Anfrage, Antwort und einen Vermerk über die Identitätsprüfung auf, damit Sie Ihre korrekte Reaktion nachweisen können. Eine feste Frist nennt die DSGVO nicht. Wir empfehlen, sich an der regelmäßigen Verjährung zu orientieren: drei Jahre ab Ende des Jahres, in dem die Anfrage abgeschlossen wurde; danach löschen. Identitätsnachweise wie Ausweiskopien löschen Sie sofort nach der Prüfung.

Da Sie die Daten nun nicht mehr benötigen, müssen Sie nicht nur ein "Sperrvermerk" setzen, sondern den Datensatz vollständig löschen.

Umgang mit Missbrauch

Zur Erinnerung: Dieser gesamte Leitfaden dient lediglich zur Orientierung und sollte dementsprechend auch nur in einfachen Fällen Anwendung finden. Bei komplexen Sachverhalten und dem Verdacht auf missbräuchliche Ausübung der Betroffenenrechte kontaktieren sie bitte Ihre:n Datenschutzbeauftragte:n und/oder Anwalt.

Betroffenenrechte nach DSGVO sind vom Verantwortlichen unentgeltlich bereitzustellen. Davon ausgenommen sind exzessive und offensichtlich unbegründete Anträge - hier kann ein angemessenes Entgelt verlangt werden oder die Bearbeitung verweigert werden. Die Beweislast über die Unbegründetheit oder den exzessiven Charakter der Anfrage tragen Sie als Verantwortlicher. Beide Ausnahmetatbestände sind restriktiv auszulegen sodass Sie sich erst nach Rücksprache mit Ihrem Anwalt/DSB auf diese berufen sollten.

Offenkundig unbegründete Anträge

Ein offenkundig unbegründeter Antrag liegt vor, wenn die Antragsvoraussetzungen offensichtlich und für den Durchschnittsmenschen erkennbar nicht erfüllt sind.

Exzessive Anträge

Exzessiv sind vor allem häufig wiederholte Anträge ohne neuen Anlass. Die Zahl der Anträge allein genügt aber nicht: Sie müssen zeigen, dass die Person ihr Recht missbräuchlich, also in Schädigungs- oder Belästigungsabsicht, ausübt. Das kann nach dem EuGH sogar schon für den ersten Antrag gelten – etwa wenn jemand sich nur für einen Newsletter anmeldet, um gleich danach Auskunft zu verlangen und Schadensersatz zu fordern. Hinweise darauf, z.B. viele gleichartige Fälle gegen andere Unternehmen, dürfen Sie berücksichtigen; nachweisen müssen Sie die Absicht trotzdem.