Ein Auskunftsantrag betroffener Personen, kurz DSAR, ist die Frage einer Person, welche Daten Sie über sie führen – und häufig die Bitte, etwas damit zu tun. Nach der GDPR haben Sie in der Regel dreißig Tage Zeit zu antworten, nach dem CCPA fünfundvierzig. Die Frist beginnt mit dem Eingang der Anfrage, und ein Fristversäumnis ist für sich genommen bereits ein Compliance-Verstoß. Die gute Nachricht: Ein DSAR ist sehr gut beherrschbar, wenn Sie einen Prozess haben. Hier ist einer.
Tag null: Anfrage protokollieren
Sobald eine Anfrage eintrifft, erfassen Sie sie. Lassen Sie sie nicht in einem persönlichen Postfach liegen. Halten Sie fest, wer gefragt hat, was gefragt wurde, das Eingangsdatum und die Frist.
- Notieren Sie die Art der Anfrage. Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sind jeweils etwas anderes.
- Lassen Sie die Frist ab dem Tag des Eingangs laufen, nicht ab dem Tag, an dem es jemandem aufgefallen ist.
- Bestätigen Sie den Eingang, damit die Person weiß, dass Sie dran sind.
Eine Anfrage kann überall eintreffen: per E-Mail, über ein Formular, sogar im Support-Chat. Schulen Sie Ihr Team, alles, was nach einer Rechtsanfrage aussieht, an eine einzige nachverfolgte Stelle weiterzuleiten.
Tag eins bis drei: Identität prüfen
Sie dürfen personenbezogene Daten nicht der falschen Person aushändigen. Die Identitätsprüfung schützt alle Beteiligten, auch die anfragende Person.
- Bestätigen Sie, dass die Anfrage von der betroffenen Person selbst oder einem bevollmächtigten Vertreter stammt.
- Verlangen Sie einen angemessenen Nachweis, aber nicht mehr, als Sie brauchen.
- Wenn Sie nicht verifizieren können, dokumentieren Sie Ihren Versuch nach Treu und Glauben und den Grund.
Zu viele Ausweisdokumente einzusammeln ist selbst ein Datenschutzrisiko. Verifizieren Sie so weit, dass Sie sicher sind, und hören Sie dann auf. Für die Bestätigung einer E-Mail-Adresse, die Sie ohnehin gespeichert haben, brauchen Sie keinen Passscan.
Tag drei bis fünfzehn: Daten finden
Das ist die eigentliche Arbeit. Sie müssen alles zusammentragen, was Sie über die Person in jedem System führen. Je besser Ihre Datenlandkarte, desto schneller geht das.
- Durchsuchen Sie Ihre Hauptdatenbank, Ihr CRM, Ihre Analyse, Ihr E-Mail-Tool und Ihre Backups.
- Beziehen Sie Daten ein, die Auftragsverarbeiter in Ihrem Auftrag halten.
- Vermerken Sie alles, was Sie rechtmäßig zurückhalten dürfen, etwa Daten, die eine andere Person offenlegen würden.
Wenn Sie Ihre Systeme nie erfasst haben, ist der erste DSAR schmerzhaft. Nutzen Sie ihn als Anlass, diese Landkarte zu bauen, damit der nächste schnell geht.
Tag fünfzehn bis fünfundzwanzig: Antwort vorbereiten
Jetzt machen Sie aus Rohdaten eine klare, brauchbare Antwort.
- Stellen Sie die Daten in einem lesbaren Format zusammen, das die Person tatsächlich versteht.
- Bei Löschanfragen entfernen Sie die Daten und bestätigen, was entfernt wurde.
- Bei Berichtigungsanfragen aktualisieren Sie den Datensatz und vermerken die Änderung.
- Schwärzen Sie Informationen über andere Personen, die zufällig neben ihren stehen.
Antworten Sie in klarer Sprache. Eine Wand aus Datenbankexporten ist keine gute Antwort. Erklären Sie, was Sie führen, warum, und was Sie getan haben.
Tag fünfundzwanzig bis dreißig: senden und dokumentieren
Übermitteln Sie die Antwort sicher und bewahren Sie den Nachweis darüber auf.
- Versenden Sie über einen Kanal, auf den die Person sicher zugreifen kann.
- Halten Sie fest, wann Sie geantwortet haben und was Sie bereitgestellt oder getan haben.
- Bewahren Sie die vollständige Spur auf, falls die Person oder eine Behörde später nachfragt.
Diese Dokumentation ist Ihre Verteidigung. Wenn jemand infrage stellt, ob Sie die Anfrage korrekt bearbeitet haben, antwortet das Protokoll für Sie.
Machen Sie den nächsten Fall einfach
Der erste DSAR stellt Ihren Prozess auf die Probe. Danach lautet das Ziel, jeden weiteren zur Routine zu machen. Ein nachverfolgter Eingang, gesetzte Fristen, ein bekannter Ort zum Suchen, eine Antwortvorlage und ein Prüfpfad verwandeln hektisches Chaos in eine Checkliste.
Wenn Sie DSAR-Eingang, SLA-Timer, einen Erfüllungs-Workflow und einen Prüfpfad an einem Ort wollen: Starten Sie kostenlos mit ConsentX und fürchten Sie die nächste Anfrage nicht mehr.