Warum die Rechte der sichtbarste Teil des Datenschutzes sind
Die Verordnung (EU) 2016/679 verpflichtet Verantwortliche an vielen Stellen zu interner Dokumentation. Die Betroffenenrechte sind die Ausnahme: Hier wirkt der Datenschutz nach außen, gegenüber Kunden, Bewerbern, Beschäftigten und Nutzern. Anders als bei internen Nachweispflichten fällt ein Versäumnis unmittelbar auf, weil die betroffene Person es selbst bemerkt und sich bei der Aufsichtsbehörde beschweren kann.
Welche Rechte die Verordnung kennt
| Recht | Worum es geht |
|---|---|
| Auskunft | Bestätigung, ob Daten verarbeitet werden, eine Kopie der Daten sowie Angaben zu Zwecken, Empfängern, Speicherdauer und Herkunft |
| Berichtigung | Korrektur unrichtiger und Vervollständigung unvollständiger Daten |
| Löschung | Entfernung der Daten, wenn kein Grund für die weitere Verarbeitung mehr besteht |
| Einschränkung der Verarbeitung | Die Daten bleiben gespeichert, dürfen aber von engen Ausnahmen abgesehen nicht weiter verwendet werden |
| Datenübertragbarkeit | Herausgabe der von der Person bereitgestellten Daten in einem gängigen, maschinenlesbaren Format |
| Widerspruch | Einwand gegen Verarbeitungen, die auf berechtigte Interessen gestützt sind; bei Direktwerbung ohne Abwägung |
| Schutz vor rein automatisierten Entscheidungen | Schutz vor Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne menschliche Beteiligung |
Hinzu kommen der jederzeitige Widerruf einer Einwilligung, der etwas anderes ist als der Widerspruch, und das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
Frist, Form und Ablehnung
Ein Antrag ist an keine Form gebunden. Er kann per E-Mail, telefonisch, im Ladengeschäft oder in einem Beschwerdeschreiben gestellt werden, muss sich nicht auf die Verordnung berufen und darf nicht von der Nutzung eines bestimmten Formulars abhängig gemacht werden. Die Verordnung setzt für die Beantwortung eine kurze Regelfrist und lässt eine Verlängerung nur unter engen Voraussetzungen und mit Zwischennachricht zu; die maßgeblichen Fristen ergeben sich unmittelbar aus der Verordnung. Auch eine Ablehnung ist innerhalb dieser Frist mitzuteilen, zu begründen und mit einem Hinweis auf Beschwerde- und Rechtsbehelfsmöglichkeiten zu versehen.
Identität prüfen, ohne neue Daten zu sammeln
Bestehen begründete Zweifel an der Identität, darf und muss nachgefragt werden. Pauschal eine Ausweiskopie zu verlangen, ist der falsche Weg, weil dabei zusätzliche Daten erhoben werden. Angemessen ist eine Prüfung über bereits vorhandene Merkmale, etwa über das hinterlegte Kundenkonto oder eine Rückfrage über einen bekannten Kanal.
Der operative Kern ist die Auffindbarkeit
Ein Auskunftsanspruch lässt sich nur erfüllen, wenn bekannt ist, wo die Daten einer Person liegen. Das ist keine juristische, sondern eine architektonische Frage. Grundlage sind das Verzeichnis von Verarbeitungstätigkeiten und das Systeminventar, dazu die Kenntnis der eingesetzten Auftragsverarbeiter. Die Lücken entstehen regelmäßig an denselben Stellen: Exporte in Tabellen, Postfächer einzelner Beschäftigter, Ticket- und Bewerbersysteme, Protokolldaten, Testumgebungen mit Produktivdaten sowie Datensicherungen.
Wer Auftragsverarbeiter einsetzt, muss vertraglich sicherstellen, dass sie bei der Beantwortung mitwirken. Art. 28 verlangt genau diese Unterstützung, und ohne benannte Ansprechstelle beim Dienstleister läuft die eigene Frist trotzdem.
Grenzen der Rechte
Kein Recht gilt unbegrenzt. Die Löschung findet ihre Grenze an gesetzlichen Aufbewahrungspflichten, die Auskunft an Rechten Dritter und an Geschäftsgeheimnissen, die Datenübertragbarkeit gilt nur für bestimmte Verarbeitungen. Eine Grenze ist allerdings kein Grund, gar nicht zu antworten: Die Einschränkung ist zu benennen, zu begründen und zu dokumentieren, und der unstreitige Teil des Antrags ist zu erfüllen.
Wo Anträge liegen bleiben
- Anträge landen im Postfach eines Fachbereichs und werden nicht als Antrag erkannt.
- Die Frist läuft, ohne dass eine Stelle sie überwacht.
- Die Auskunft beschränkt sich auf das führende System und lässt Kopien außen vor.
- Eine Löschung wird als Sperrung umgesetzt, ohne dass das begründet und dokumentiert ist.
- Für den Widerspruch gegen Direktwerbung gibt es keinen eigenen Weg.
Wie Rizzqo die Auskunft vorbereitet
Die Frist für eine Auskunft läuft ab dem Eingang des Antrags, nicht ab dem Zeitpunkt, an dem klar ist, wo die Daten liegen. Deshalb entscheidet sich die Einhaltung meist vorher. In Rizzqo trägt ein primärer Wert, also eine Information oder ein Geschäftsprozess, die Kategorien personenbezogener Daten, die er enthält, und gibt diese Eigenschaft an die unterstützenden Assets weiter, die ihn tragen, auch über mehrere Stufen.
Damit ist die Vorarbeit für einen Antrag bereits geleistet: Zu einer Datenkategorie sind die Systeme, Dienste und Dienstleister auffindbar, in denen sie vorkommt, jeweils mit benanntem Verantwortlichen. Die Auskunft bleibt eine fachliche Aufgabe; was entfällt, ist die Suche nach den beteiligten Stellen unter Zeitdruck.