Was ist ein Auskunftsersuchen betroffener Personen (DSAR)?
Nach der GDPR wird dies üblicherweise als Auskunftsrecht bezeichnet. Eine Person kann grundsätzlich fragen, ob eine Organisation ihre personenbezogenen Daten verarbeitet, eine Kopie dieser Daten verlangen und bestimmte ergänzende Informationen darüber erhalten, wie die Daten verarbeitet werden.
Ein DSAR unterscheidet sich von Anträgen auf Berichtigung, Löschung, Einschränkung, Widerspruch oder Übertragung personenbezogener Daten. Dabei handelt es sich um eigenständige Datenschutzrechte, auch wenn eine Person mehrere Rechte in ein und demselben Antrag geltend machen kann.
Organisationen benötigen einen wirksamen DSAR-Prozess, um Anträge entgegenzunehmen, bei Bedarf die Identität zu prüfen, einschlägige Informationen aufzufinden, sie auf anwendbare Ausnahmen oder Informationen über Dritte zu prüfen und innerhalb der geltenden gesetzlichen Frist sicher zu antworten.
Was bedeutet DSAR?
DSAR steht für Data Subject Access Request, also das Auskunftsersuchen einer betroffenen Person.
Der Begriff wird in Datenschutzprogrammen weithin verwendet, um den Antrag einer Person auf Auskunft über ihre personenbezogenen Daten zu beschreiben.
Je nach Rechtsraum kann dasselbe oder ein ähnliches Recht auch so heißen:
Nach den Leitlinien zur UK GDPR beschreibt etwa das ICO das Auskunftsrecht als das Recht, eine Kopie der personenbezogenen Daten sowie weitere ergänzende Informationen zu erhalten.
Was ist ein DSAR nach der GDPR?
Nach Artikel 15 der GDPR erlaubt das Auskunftsrecht einer Person, eine Bestätigung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden, und gegebenenfalls Zugang zu diesen personenbezogenen Daten sowie zu bestimmten ergänzenden Informationen zu erhalten.
Zu den ergänzenden Informationen können beispielsweise gehören:
- Die Zwecke der Verarbeitung
- Kategorien personenbezogener Daten
- Empfänger oder Kategorien von Empfängern
- Die geplante Speicherdauer, sofern anwendbar
- Informationen zur Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden
- Informationen über die einschlägigen Rechte
- Informationen über automatisierte Entscheidungsfindung, sofern anwendbar
- Informationen zu internationalen Datenübermittlungen, sofern anwendbar
Ein DSAR liefert daher mehr als nur einen Datenbankexport.
Es hilft der Person zu verstehen, welche personenbezogenen Daten verarbeitet werden, warum sie verarbeitet werden und wie die Organisation mit ihnen umgeht.
Welche Informationen kann jemand über ein DSAR anfordern?
Eine Person kann eine Organisation grundsätzlich auffordern, ihr Zugang zu ihren personenbezogenen Daten zu gewähren.
Je nach Organisation und Umfang des Antrags kann dies zum Beispiel umfassen:
- Kontoinformationen
- Kontaktdaten
- Transaktionsdaten
- Kundenservice-Aufzeichnungen
- Beschäftigungsdaten
- Kommunikation
- Support-Tickets
- Profilinformationen
- Geräte- oder Online-Kennungen
- Bestimmte Marketinginformationen
- Personenbezogene Daten in internen Systemen
- Personenbezogene Daten bei einschlägigen Auftragsverarbeitern oder Dienstleistern
Der genaue Umfang hängt vom anwendbaren Recht, den Verarbeitungstätigkeiten der Organisation und etwaigen anwendbaren Ausnahmen oder Beschränkungen ab.
Ist ein DSAR dasselbe wie ein Löschantrag?
Nein.
Ein DSAR ist in erster Linie ein Auskunftsersuchen.
Ein Löschantrag fordert eine Organisation auf, personenbezogene Daten zu löschen, sofern das entsprechende gesetzliche Recht besteht.
Diese Rechte sind voneinander getrennt.
Zum Beispiel:
„Bitte stellen Sie mir die personenbezogenen Daten zur Verfügung, die Sie über mich gespeichert haben.“
„Bitte löschen Sie meine personenbezogenen Daten, soweit mir ein Recht auf Löschung zusteht.“
„Bitte berichtigen Sie unrichtige personenbezogene Daten.“
„Bitte stellen Sie mir die betreffenden personenbezogenen Daten in einem übertragbaren Format zur Verfügung.“
Eine einzelne Nachricht kann mehrere Anträge enthalten, weshalb der Erfassungsprozess einer Organisation in der Lage sein sollte, jedes einschlägige Recht zu erkennen und weiterzuleiten.
DSAR vs. SAR
DSAR und SAR werden häufig synonym verwendet.
Der Begriff SAR ist vor allem in der britischen Datenschutzpraxis gebräuchlich.
Das zugrunde liegende Konzept ist das Auskunftsrecht der Person.
Das ICO verwendet für Anträge nach dem Auskunftsrecht ausdrücklich den Begriff „subject access request (SAR)“.
Wie funktioniert ein DSAR?
Ein typischer DSAR-Ablauf sieht so aus:
- Antrag eingegangen
- Antrag identifiziert
- Identität bei Bedarf geprüft
- Umfang bewertet
- Daten aufgefunden
- Informationen geprüft
- Ausnahmen berücksichtigt
- Antwort vorbereitet
- Daten sicher übermittelt
- Antrag dokumentiert
Antrag entgegennehmen
Die Person stellt einen Antrag über einen verfügbaren Kanal.
Ein Antrag muss nicht zwingend die Worte „DSAR“ oder „Artikel 15“ verwenden.
Eine Organisation sollte über einen Prozess verfügen, um Anträge zu erkennen, die auf die Ausübung des Auskunftsrechts hinauslaufen.
Identität bei Bedarf prüfen
Die Organisation muss möglicherweise überprüfen, ob die antragstellende Person diejenige ist, deren Daten angefordert werden.
Die Identitätsprüfung sollte angemessen und verhältnismäßig sein.
Die aktuellen Leitlinien des ICO betonen, dass Organisationen nicht automatisch einen formellen Identitätsnachweis verlangen sollten, wenn die Identität bereits hinreichend feststeht.
Umfang bestimmen
Die Organisation sollte bestimmen, welche Systeme und Informationskategorien relevant sein können.
Ist ein Antrag tatsächlich unklar oder so weit gefasst, dass eine Klarstellung vernünftigerweise erforderlich ist, kann die Organisation um Klarstellung bitten.
Eine Klarstellung sollte jedoch nicht schlicht dazu genutzt werden, den Antrag unnötig zu erschweren.
Einschlägige Systeme durchsuchen
Die Organisation sollte eine angemessene Suche nach den angeforderten personenbezogenen Daten durchführen.
Je nach Unternehmen kann dies Folgendes umfassen:
- CRM-Systeme
- Kundendatenbanken
- Support-Systeme
- HR-Systeme
- Marketing-Plattformen
- Data Warehouses
- Cloud-Anwendungen
- Archivierte Systeme
- Einschlägige Auftragsverarbeiter
Informationen prüfen
Vor der Offenlegung sollte die Organisation die Informationen prüfen auf:
- Personenbezogene Daten Dritter
- Anwendbare Ausnahmen
- Vertrauliche Informationen
- Gegebenenfalls geschützte Informationen
- Sicherheitsaspekte
- Umfang des Antrags
- Anwendbare rechtliche Beschränkungen
Antwort vorbereiten
Die Antwort sollte die personenbezogenen Daten und die erforderlichen ergänzenden Informationen in einem geeigneten, verständlichen Format bereitstellen.
Sicher übermitteln
Die Organisation sollte für die Übermittlung personenbezogener Daten an die antragstellende Person ein sicheres Verfahren verwenden.
Antrag dokumentieren
Die Organisation sollte angemessene Aufzeichnungen führen über:
- Wann der Antrag eingegangen ist
- Wer ihn bearbeitet hat
- Schritte der Identitätsprüfung
- Durchsuchte Systeme
- Bereitgestellte Informationen
- Berücksichtigte Ausnahmen
- Datum der Antwort
- Etwaige Fristverlängerungen
- Einschlägige Kommunikation
So entsteht ein Prüfpfad, mit dem sich nachweisen lässt, wie der Antrag bearbeitet wurde.
Wie lange dauert ein DSAR?
Die Frist hängt vom anwendbaren Datenschutzrecht ab.
GDPR
Nach der GDPR müssen Organisationen grundsätzlich unverzüglich und innerhalb eines Monats nach Eingang eines gültigen Antrags antworten.
Die Frist kann um bis zu zwei weitere Monate verlängert werden, wenn dies aufgrund der Komplexität oder der Anzahl der Anträge erforderlich ist. Die antragstellende Person muss in der Regel innerhalb der ursprünglichen Monatsfrist über die Verlängerung und deren Gründe informiert werden.
Das britische ICO beschreibt derzeit dieselbe allgemeine Monatsfrist nach der UK GDPR, mit einer Verlängerung um bis zu zwei weitere Monate bei komplexen oder mehrfachen Anträgen.
CCPA
Das kalifornische Datenschutzrecht verwendet einen anderen Rahmen und eine andere Terminologie.
Für einschlägige Verbraucheranträge nach dem CCPA beträgt die übliche Antwortfrist grundsätzlich 45 Tage, vorbehaltlich anwendbarer Verlängerungen und Anforderungen.
Das ist ein Grund, warum eine DSAR-Plattform rechtsraumspezifische SLA-Regeln verwenden sollte, statt anzunehmen, dass weltweit eine einzige Frist gilt.
Wichtig
Es gibt keine universelle DSAR-Frist.
Ein Datenschutzmanagementsystem sollte die anwendbare Frist anhand von Faktoren wie diesen bestimmen:
- Rechtsraum
- Anwendbares Datenschutzrecht
- Art des Antrags
- Identitätsprüfung
- Klarstellungsbedarf
- Komplexität
- Fristverlängerungen
- Anwendbare Ausnahmen
Darf eine Organisation einen Identitätsnachweis verlangen?
Manchmal.
Eine Organisation muss möglicherweise die Identität prüfen, bevor sie personenbezogene Daten offenlegt, insbesondere wenn ein ernsthaftes Risiko besteht, dass Informationen an die falsche Person gelangen.
Die Identitätsprüfung sollte jedoch verhältnismäßig sein.
Die aktuellen Leitlinien des ICO besagen, dass Organisationen bei den angeforderten Identitätsnachweisen angemessen vorgehen und keinen formellen Identitätsnachweis verlangen sollten, wenn dieser nicht erforderlich ist.
Ein guter DSAR-Workflow sollte daher Folgendes unterstützen:
- Identitätsprüfung
- Risikobasierte Prüfung
- Sichere Dokumentenhandhabung, soweit erforderlich
- Prüfstatus
- Authentifizierung der antragstellenden Person
- Auditaufzeichnungen
Kann jemand ein DSAR mündlich stellen?
Ja, je nach anwendbarem Rechtsrahmen.
Nach den Leitlinien zur UK GDPR kann ein Auskunftsersuchen mündlich oder schriftlich gestellt werden, auch über Kanäle wie soziale Medien. Die antragstellende Person muss nicht zwingend ein vorgegebenes Formular oder juristische Fachbegriffe verwenden.
Das bedeutet, dass Organisationen ihre Beschäftigten schulen sollten, Auskunftsersuchen auch dann zu erkennen, wenn sie eingehen über:
- Telefon
- Live-Chat
- Kundensupport
- Soziale Medien
- Persönliche Gespräche
- Online-Datenschutzformulare
Ein DSAR-Prozess sollte nicht ausschließlich von einem einzigen Webformular abhängen.
Muss ein DSAR auch DSAR genannt werden?
Nein.
Eine Person muss den Begriff „DSAR“ in der Regel nicht verwenden, damit eine Organisation ein gültiges Auskunftsersuchen erkennt.
Zum Beispiel:
„Können Sie mir alle personenbezogenen Daten schicken, die Sie über mich haben?“
kann ein Auskunftsersuchen darstellen, auch wenn die Person den Begriff DSAR nie verwendet.
Organisationen sollten daher Kundenservice-, HR-, Support- und Datenschutzteams schulen, Anträge anhand ihres Inhalts zu erkennen.
Was muss eine Organisation bereitstellen?
Nach dem Auskunftsrecht der GDPR muss die Organisation grundsätzlich Folgendes bereitstellen:
- Eine Bestätigung darüber, ob personenbezogene Daten verarbeitet werden.
- Eine Kopie der betreffenden personenbezogenen Daten.
- Die nach dem anwendbaren Recht erforderlichen ergänzenden Informationen.
Das ICO fasst das Auskunftsrecht so zusammen, dass es die Bestätigung der Verarbeitung, eine Kopie der personenbezogenen Daten sowie ergänzende Informationen umfasst.
Die Organisation muss nicht zwingend jedes interne Dokument vollständig herausgeben, wenn das gesetzliche Recht nur die Offenlegung der personenbezogenen Daten der antragstellenden Person und der einschlägigen ergänzenden Informationen verlangt.
Kann ein DSAR Informationen über andere Personen enthalten?
Möglicherweise, doch das erfordert eine sorgfältige Prüfung.
Die Aufzeichnungen einer Organisation können personenbezogene Daten enthalten über:
- Die antragstellende Person
- Beschäftigte
- Kundinnen und Kunden
- Familienangehörige
- Geschäftskontakte
- Sonstige Dritte
Die Organisation sollte prüfen, ob die Offenlegung unzulässigerweise personenbezogene Daten einer anderen Person preisgeben würde.
Das ist ein Grund, warum die Bearbeitung eines DSAR oft eine menschliche Prüfung erfordert, selbst wenn die anfängliche Datenerhebung automatisiert ist.
Kann eine Organisation ein DSAR ablehnen?
Ein Auskunftsrecht gilt nicht unbegrenzt.
Je nach anwendbarem Recht können Ausnahmen oder Beschränkungen greifen.
So muss die Organisation beispielsweise Fragen berücksichtigen, die Folgendes betreffen:
- Rechte Dritter
- Anwaltliche Verschwiegenheit
- Vertraulichkeit
- Aufsichtsrechtliche Beschränkungen
- Belange der Strafverfolgung
- Offenkundig unbegründete oder exzessive Anträge
- Sonstige gesetzliche Ausnahmen
Eine Organisation sollte einen Antrag nicht einfach deshalb ablehnen, weil er unbequem ist.
Wird ein Antrag abgelehnt oder werden Informationen zurückgehalten, sollte die Organisation die geltenden gesetzlichen Anforderungen zu Begründungen, Ausnahmen sowie Beschwerde- oder Rechtsbehelfsrechten beachten.
Die aktuellen Leitlinien des ICO besagen, dass Organisationen die Auskunft nur verweigern dürfen, wenn eine Ausnahme oder Beschränkung greift, einschließlich bestimmter offenkundig unbegründeter oder exzessiver Anträge.
Sind DSARs kostenlos?
In vielen Datenschutzregimen können Personen ihre Auskunftsrechte ausüben, ohne eine reguläre Gebühr zu zahlen.
Nach den Leitlinien zur UK GDPR dürfen Organisationen für die Beantwortung eines Auskunftsersuchens beispielsweise grundsätzlich keine Gebühr verlangen.
Je nach anwendbarem Recht kann in begrenzten Fällen eine angemessene Gebühr zulässig sein, etwa bei bestimmten offenkundig unbegründeten oder exzessiven Anträgen oder bei weiteren Kopien.
Die genaue Regel hängt vom Rechtsraum ab.
DSAR und Datenübertragbarkeit
Ein Antrag auf Datenübertragbarkeit unterscheidet sich von einem DSAR.
Bei beiden können personenbezogene Daten bereitgestellt werden, doch die Datenübertragbarkeit hat zusätzliche Voraussetzungen und einen besonderen Zweck.
Bei der Datenübertragbarkeit geht es grundsätzlich darum, bestimmte personenbezogene Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und sie, soweit technisch machbar, an einen anderen Verantwortlichen zu übermitteln.
Nicht jedes DSAR gilt zugleich als Antrag auf Datenübertragbarkeit.
Eine Plattform für Betroffenenrechte sollte daher unterscheiden zwischen:
- Auskunft
- Berichtigung
- Löschung
- Datenübertragbarkeit
- Widerspruch
- Einschränkung
- Sonstigen anwendbaren Rechten
DSAR und die GDPR
Das Auskunftsrecht nach Artikel 15 der GDPR ist die zentrale Rechtsgrundlage für ein DSAR nach der GDPR.
Das Recht hilft Personen zu verstehen, wie ihre personenbezogenen Daten verarbeitet werden, und ermöglicht es ihnen zu prüfen, ob die Verarbeitung rechtmäßig ist.
Ein gut gestalteter DSAR-Prozess sollte Auskunftsersuchen daher mit dem umfassenderen GDPR-Rechenschaftsprogramm der Organisation verknüpfen.
DSAR und UK GDPR
Die UK GDPR enthält ein Auskunftsrecht, das weitgehend mit dem der GDPR vergleichbar ist.
Britische Organisationen sollten die aktuellen Leitlinien des Information Commissioner's Office (ICO) befolgen, da sich detaillierte operative Anforderungen und Leitlinien weiterentwickeln können.
Insbesondere sollten Organisationen die aktuellen Regeln zu folgenden Punkten berücksichtigen:
- Antwortfristen
- Fristverlängerungen
- Klarstellung
- Identitätsprüfung
- Angemessene Suchen
- Ausnahmen
- Sichere Offenlegung
- Beschwerden
Das ICO hat seine Leitlinien zum Auskunftsrecht in den Jahren 2025 und 2026 aktualisiert, einschließlich Hinweisen zu den Änderungen durch den Data (Use and Access) Act 2025.
DSAR und CCPA
Der kalifornische Datenschutzrahmen gewährt Verbrauchern Rechte in Bezug auf ihre personenbezogenen Daten, darunter Auskunftsrechte.
Der CCPA verwendet eine eigene Terminologie sowie eigene Verfahren, Ausnahmen und Fristen; Organisationen sollten daher nicht einfach einen GDPR-DSAR-Workflow kopieren und annehmen, dass er die kalifornischen Anforderungen erfüllt.
Ein System für Betroffenenrechte sollte den anwendbaren Rechtsraum ermitteln und den Antrag über den passenden Workflow leiten.
DSAR und DPDPA in Indien
Indiens Digital Personal Data Protection Act (DPDPA) verwendet eine andere Terminologie als die GDPR.
Der DPDPA bezeichnet die Person als Data Principal statt als „betroffene Person“ wie die GDPR.
Organisationen, die in Indien tätig sind, sollten daher unterscheiden zwischen:
- Rechten betroffener Personen nach GDPR / UK GDPR
- Verbraucherrechten nach dem CCPA
- Rechten des Data Principal nach dem DPDPA
Eine globale Datenschutzplattform sollte rechtsraumspezifische Workflows nutzen, statt jede Datenschutzanfrage wie ein DSAR nach der GDPR zu behandeln.
DSAR vs. Antrag auf Betroffenenrechte
Ein Antrag auf Betroffenenrechte (DSR) oder Data Subject Request ist ein weiter gefasstes Konzept als ein DSAR.
Ein Antrag auf Betroffenenrechte kann Folgendes betreffen:
- Auskunft
- Berichtigung
- Löschung
- Einschränkung
- Widerspruch
- Datenübertragbarkeit
- Sonstige rechtsraumspezifische Rechte
Ein DSAR richtet sich speziell auf die Auskunft.
Diese Unterscheidung ist für Datenschutzteams nützlich, weil eine einzelne eingehende Nachricht mehrere Rechte enthalten kann.
Zum Beispiel:
„Sagen Sie mir, welche Daten Sie über mich haben, berichtigen Sie meine Adresse und löschen Sie mein Marketingprofil.“
Diese Nachricht enthält potenziell:
- Ein Auskunftsersuchen
- Einen Berichtigungsantrag
- Einen Löschantrag
Die Organisation sollte jedes einschlägige Recht erkennen und bearbeiten.
DSAR vs. Widerruf der Einwilligung
Ein DSAR unterscheidet sich auch vom Widerruf der Einwilligung.
„Ich widerrufe die Einwilligung, die ich zuvor erteilt habe.“
„Geben Sie mir Zugang zu meinen personenbezogenen Daten und zu den einschlägigen Informationen über ihre Verarbeitung.“
Eine Person kann beide Rechte ausüben, doch sie sollten nicht verwechselt werden.
So könnte eine Person etwa ihre Marketing-Einwilligung widerrufen und unabhängig davon Auskunft über die personenbezogenen Daten verlangen, die die Organisation über sie gespeichert hat.
DSAR und Cookies
Ein DSAR kann potenziell auch personenbezogene Daten umfassen, die mit Online-Aktivitäten verbunden sind.
Je nach Umständen können dazu folgende Informationen gehören:
- Online-Kennungen
- Konto-Kennungen
- Mit Cookies verknüpfte Informationen
- Werbe-Kennungen
- IP-Adressen
- Website-Aktivitäten
- Marketingprofile
- Aufzeichnungen zu Präferenzen
Ob bestimmte Cookie- oder Analyseinformationen personenbezogene Daten darstellen, hängt vom anwendbaren Recht und vom Kontext ab.
Organisationen sollten daher bei DSAR-Suchen auch einschlägige Online-Datensysteme berücksichtigen, statt die Suche auf ihr CRM zu beschränken.
DSAR und Einwilligungsnachweise
Einwilligungsnachweise können für ein DSAR relevant sein.
So kann eine Organisation beispielsweise Informationen vorhalten, die zeigen:
- Wann die Einwilligung eingeholt wurde
- Welche Zwecke dargestellt wurden
- Welche Auswahl getroffen wurde
- Welche Version des Hinweises angezeigt wurde
- Welche Präferenzen geändert wurden
- Wann die Einwilligung widerrufen wurde
- Welche Kennungen mit dem Einwilligungsereignis verknüpft waren
Soweit diese Informationen personenbezogene Daten der Person darstellen und in den Umfang des Antrags fallen, müssen sie bei der Bearbeitung möglicherweise berücksichtigt werden.
Deshalb sollten Einwilligungsnachweise und DSAR-Management nicht immer als vollständig getrennte Systeme betrieben werden.
DSAR und externe Auftragsverarbeiter
Organisationen setzen häufig externe Auftragsverarbeiter und Dienstleister ein.
Ein DSAR kann daher erfordern, dass Informationen in folgenden Systemen aufgefunden werden:
- CRM-Plattformen
- E-Mail-Anbieter
- Cloud-Speicher
- Kundensupport-Tools
- Marketing-Plattformen
- Analysesysteme
- HR-Plattformen
- Zahlungssysteme
- Data Warehouses
- Sonstige Auftragsverarbeiter
Die Organisation bleibt nach dem anwendbaren Recht für die Steuerung ihres Auskunftsrechts-Workflows verantwortlich, auch wenn einschlägige Daten in Systemen Dritter gespeichert oder verarbeitet werden.
Wie Automatisierung bei DSARs hilft
Die manuelle Bearbeitung von DSARs kann schwierig werden, wenn die Zahl der Anträge und Datensysteme steigt.
Eine DSAR-Management-Plattform kann Teile des Workflows automatisieren, darunter:
- Antragserfassung
- Fallanlage
- Identitätsprüfung
- Klassifizierung des Antrags
- Fristberechnung
- SLA-Überwachung
- Zuweisung
- Interne Benachrichtigungen
- Nachverfolgung der Datenquellen
- Bearbeitungs-Workflows
- Sichere Zustellung
- Auditprotokolle
- Eskalationen
Automatisierung sollte das Datenschutzteam unterstützen und nicht die notwendige menschliche Prüfung ersetzen.
Checkliste zur DSAR-Automatisierung
Ein ausgereifter DSAR-Workflow sollte Folgendes umfassen:
Erfassung
- Zentrale Antragserfassung
- Unterstützung für E-Mail und Webformulare
- Manuelle Anlage von Anträgen
- Automatische Fallnummerierung
Klassifizierung
- Erkennung von Auskunftsersuchen
- Klassifizierung der Rechte
- Erkennung des Rechtsraums
- Prioritätenvergabe
Identitätsprüfung
- Authentifizierung der antragstellenden Person
- Prüfstatus
- Verhältnismäßige Prüfabläufe
- Sicherer Umgang mit Nachweisen
Fristenmanagement
- Berechnung der anwendbaren SLA
- Automatische Fristerinnerungen
- Nachverfolgung von Fristverlängerungen
- Eskalationswarnungen
Datenermittlung
- Systeminventar
- Suchaufträge
- Abstimmung mit Auftragsverarbeitern
- Nachverfolgung der Erhebung
Prüfung
- Entfernung von Duplikaten
- Prüfung von Informationen über Dritte
- Prüfung von Ausnahmen
- Menschliche Freigabe
Bearbeitung
- Sicherer Export
- Erstellung der Antwort
- Nachverfolgung der Zustellung
- Abschluss des Antrags
Audit
- Vollständige Aktivitätshistorie
- Zeitstempel
- Zugewiesene Nutzer
- Suchprotokolle
- Entscheidungen
- Endgültige Antwort
- Nachweis des Abschlusses
Häufige Fehler bei DSARs
Jede Datenschutzanfrage als DSAR behandeln
Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch und Auskunft sind eigenständige Rechte.
Ein besonderes Formular verlangen
Organisationen sollten berechtigte Auskunftsersuchen nicht allein deshalb unnötig erschweren, weil die antragstellende Person kein bestimmtes Formular verwendet hat.
Automatisch einen amtlichen Ausweis verlangen
Die Identitätsprüfung sollte im Verhältnis zum Risiko stehen.
Nur das CRM durchsuchen
Personenbezogene Daten können in Dutzenden von Systemen vorhanden sein.
Auftragsverarbeiter ignorieren
Einschlägige personenbezogene Daten können bei Cloud-, Marketing-, Analyse-, Support- oder anderen Dienstleistern liegen.
Fristen versäumen
Ein Antrag ohne SLA-Uhr wird leicht übersehen.
Daten unsicher versenden
Personenbezogene Daten sollten über einen geeigneten sicheren Mechanismus übermittelt werden.
Informationen einer anderen Person offenlegen
DSAR-Antworten erfordern eine sorgfältige Prüfung, wenn Aufzeichnungen personenbezogene Daten Dritter enthalten.
GDPR-Fristen als universell ansehen
Unterschiedliche Rechtsräume haben unterschiedliche Regeln und Antwortfristen.
Den Fall ohne Prüfpfad schließen
Organisationen sollten nachweisen können, wie der Antrag eingegangen ist sowie bewertet, durchsucht, geprüft und bearbeitet wurde.
DSAR-Umsetzungscheckliste für Unternehmen
- Definieren, was als DSAR gilt.
- Beschäftigte mit Kundenkontakt schulen, Anträge zu erkennen.
- Zugängliche Antragskanäle bereitstellen.
- Die Identität bei Bedarf und verhältnismäßig prüfen.
- Den anwendbaren Rechtsraum bestimmen.
- Die zutreffende gesetzliche Frist berechnen.
- Den Umfang des Antrags bestimmen.
- Einschlägige Systeme durchsuchen.
- Sich bei Bedarf mit Auftragsverarbeitern abstimmen.
- Personenbezogene Daten Dritter prüfen.
- Anwendbare Ausnahmen bewerten.
- Die Antwort in einem zugänglichen Format vorbereiten.
- Informationen sicher übermitteln.
- Antrag und Antwort dokumentieren.
- Fristen und Fristverlängerungen nachverfolgen.
- Nachweise für Auditzwecke aufbewahren.
- Den Prozess regelmäßig überprüfen.
DSAR und ConsentX
ConsentX kann Organisationen dabei helfen, DSAR- und Betroffenenrechte-Workflows über einen zentralen Prozess für Antragserfassung, Identitätsprüfung, SLA-Überwachung, Bearbeitung und Auditnachweise zu steuern.
Ein typischer Workflow kann so aussehen:
- Antrag
- Identitätsprüfung
- Erkennung von Rechtsraum/Regel
- SLA-Timer
- Datenermittlung
- Prüfung
- Bearbeitung
- Sichere Antwort
- Auditaufzeichnung
Das hilft Datenschutzteams, das Risiko folgender Punkte zu verringern:
- Versäumte Fristen
- Nicht zugewiesene Anträge
- Fehler bei der manuellen Nachverfolgung
- Unvollständige Antragsaufzeichnungen
- Uneinheitliche Bearbeitung
- Schlechte Prüfbarkeit
Das Ziel ist nicht einfach, E-Mail-Antworten zu automatisieren.
Das Ziel ist ein prüfbarer Workflow für Betroffenenrechte.
Das Wichtigste in Kürze
- Ein DSAR ist ein Antrag auf Auskunft über die personenbezogenen Daten einer Person.
- Ein DSAR wird auch häufig als Subject Access Request (SAR) oder als Antrag nach dem Auskunftsrecht bezeichnet.
- Ein DSAR unterscheidet sich von Anträgen auf Löschung, Berichtigung, Datenübertragbarkeit, Widerspruch oder Einschränkung.
- Nach der GDPR muss die Antwort grundsätzlich innerhalb eines Monats erfolgen, vorbehaltlich zulässiger Fristverlängerungen.
- Die Leitlinien zur UK GDPR sehen ebenfalls eine Monatsfrist vor, mit möglichen Verlängerungen bei komplexen oder mehrfachen Anträgen.
- Für Auskunftsersuchen nach dem CCPA gelten andere Regeln und Fristen.
- Eine Identitätsprüfung kann angebracht sein, sollte jedoch verhältnismäßig sein.
- Organisationen sollten einschlägige Systeme durchsuchen und Daten bei Auftragsverarbeitern berücksichtigen.
- DSAR-Antworten können eine Prüfung auf Informationen über Dritte und gesetzliche Ausnahmen erfordern.
- Sichere Bearbeitung und Auditaufzeichnungen sind wichtige Bestandteile des DSAR-Managements.
- Eine DSAR-Plattform sollte rechtsraumspezifische Regeln und SLA-Timer verwenden und nicht eine einzige globale Frist.
- Automatisierung kann Erfassung, Prüfung, Datenermittlung, Bearbeitung und Auditnachweise vereinfachen.
Einen prüfbaren Workflow für Betroffenenrechte aufbauen
Das Ziel ist nicht einfach, E-Mail-Antworten zu automatisieren. Das Ziel ist ein prüfbarer Workflow für Betroffenenrechte. ConsentX kann Organisationen dabei helfen, DSAR- und Betroffenenrechte-Anträge über einen zentralen Prozess für Antragserfassung, Identitätsprüfung, SLA-Überwachung, Bearbeitung und Auditnachweise zu steuern.