Ein Auskunftsbegehren trifft viele KMU unvorbereitet: Eine E-Mail landet im Support, niemand weiss, wer zuständig ist, die Frist läuft, und die Daten liegen in einem Dutzend Systeme. Dabei lässt sich die Bearbeitung mit einem einfachen Ablauf zuverlässig organisieren. Dieser Beitrag beschreibt ihn für Unternehmen, die dem Schweizer DSG, der DSGVO oder beiden unterstehen.
Welche Rechte es gibt
Betroffene Personen können Auskunft über ihre Daten verlangen, unrichtige Daten berichtigen lassen, unter bestimmten Voraussetzungen die Löschung oder Einschränkung verlangen, der Bearbeitung widersprechen und ihre Daten in einem gängigen elektronischen Format herausverlangen. Die Rechte sind im revidierten DSG und in der DSGVO ähnlich angelegt, unterscheiden sich aber in Details; einen Überblick gibt der Glossareintrag zu den Betroffenenrechten.
Die Fristen
Unter der DSGVO ist innerhalb eines Monats zu antworten; bei komplexen oder zahlreichen Anfragen kann die Frist um zwei Monate verlängert werden, wenn die Person innerhalb des ersten Monats informiert wird. Nach Schweizer Recht ist die Auskunft grundsätzlich innert 30 Tagen zu erteilen; ist das nicht möglich, wird die Person informiert, bis wann die Auskunft erfolgt. Beide Regelwerke sehen vor, dass die Auskunft in der Regel kostenlos ist.
Der Workflow
- Eingang bündeln: eine feste Adresse oder ein Formular für Datenschutzanfragen, und eine Regel, dass Anfragen aus anderen Kanälen sofort weitergeleitet werden.
- Erfassen: Eingangsdatum, Art der Anfrage, Frist und zuständige Person in einem einfachen Register.
- Identität prüfen: angemessen und verhältnismässig — wer mit der bekannten E-Mail-Adresse schreibt, braucht meist keinen Ausweis; bei sensiblen Daten oder Zweifeln ist mehr nötig.
- Daten suchen: in allen Systemen, die das Bearbeitungsverzeichnis nennt, einschliesslich E-Mail, Support-Werkzeugen, Backups und Auftragsbearbeitern.
- Ausnahmen prüfen: gesetzliche Aufbewahrungspflichten, Rechte Dritter, Geschäftsgeheimnisse.
- Antworten: verständlich, vollständig und in der Form, die das Recht verlangt.
- Dokumentieren: was angefragt, was geliefert, was abgelehnt und warum.
Was eine Auskunft enthalten muss
Neben den Daten selbst gehören die Angaben dazu, die auch die Datenschutzerklärung enthält, bezogen auf die konkrete Person: Zweck der Bearbeitung, Empfänger, Aufbewahrungsdauer, Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden, und gegebenenfalls das Vorliegen automatisierter Einzelentscheidungen. Wer seine Datenschutzerklärung aus dem Bearbeitungsverzeichnis ableitet, hat diese Angaben bereits.
Löschung und ihre Grenzen
Eine Löschanfrage bedeutet nicht, dass alles gelöscht werden muss. Daten, die gesetzlich aufbewahrt werden müssen, etwa Buchhaltungsbelege, bleiben gespeichert, werden aber für andere Zwecke gesperrt. Wichtig ist, der Person zu erklären, was gelöscht wurde, was nicht und warum. In SaaS-Produkten gehört die Löschung über alle Systeme hinweg — Datenbank, Speicher, Analysewerkzeuge, E-Mail-Versand — von Anfang an in die Architektur.
Datenherausgabe
Das Recht auf Datenherausgabe oder -übertragung verlangt die Daten in einem gängigen elektronischen Format. Für SaaS-Anbieter ist ein sauberer Export, den Kunden selbst auslösen können, die effizienteste Lösung: Er erfüllt die Anfrage, ohne Handarbeit, und ist zugleich ein Vertrauenssignal gegenüber Geschäftskunden.
Als Auftragsbearbeiter
SaaS-Anbieter, die Daten im Auftrag ihrer Kunden bearbeiten, beantworten Anfragen von Endnutzern in der Regel nicht selbst, sondern leiten sie an den Kunden weiter und unterstützen ihn bei der Beantwortung. Das gehört in den Auftragsbearbeitungsvertrag und in einen klaren internen Ablauf.
Typische Fehler
- Anfragen versanden im Support-Postfach, bis die Frist abgelaufen ist.
- Die Suche beschränkt sich auf die Hauptdatenbank und übersieht E-Mail, Support-Werkzeuge und Auftragsbearbeiter.
- Identitätsprüfungen verlangen unverhältnismässig viele Unterlagen.
- Ablehnungen werden nicht begründet und nicht dokumentiert.
Den Aufbau solcher Abläufe begleiten wir im Rahmen der revDSG-Umsetzung für KMU; für den Ernstfall einer Datenpanne gibt es das Playbook für Datenpannen.