Handle data subject requests: access and erasure under the GDPR

Jede Person darf erfahren, welche Daten Sie über sie gespeichert haben, und unter Umständen deren Löschung verlangen. So regelt es die Datenschutz-Grundverordnung (DSGVO) in Artikel 15 und 17. In knooing legen Sie für jeden solchen Wunsch eine Betroffenenanfrage an. knooing sucht die Daten der Person, setzt eine Frist von einem Monat und hält fest, was Sie getan haben.

Diese Anleitung ist Teil 2 von 2. Wie Sie feste Aufbewahrungsfristen anlegen, steht in Teil 1. Julia Beispiel bearbeitet zwei Wünsche: Tobias Beispiel möchte wissen, welche Daten über ihn gespeichert sind. Und die Ansprechpartnerin eines früheren Lieferanten, der Muster Druckservice GmbH, verlangt die Löschung ihrer Kontaktdaten.

Die wichtigsten Begriffe

• Betroffenenanfrage: der Wunsch einer Person nach Auskunft (Auskunft (Art. 15)) oder Löschung (Löschung (Art. 17)).
• Betroffene Art: wer gefragt hat. Nutzer (Vorgangsmelder) ist eine Person mit Konto, die Vorgänge gemeldet hat. Lieferantenkontakt ist die Ansprechperson bei einem Lieferanten.
• Strukturierte Treffer: Daten in festen Feldern, etwa E-Mail-Adresse oder Konto. Erwähnungen in Freitext, etwa in Beschreibungen oder Kommentaren, findet die Suche nicht.
• Anonymisieren: Name und E-Mail-Adresse werden durch einen Platzhalter ersetzt. Vorgänge und Lieferant bleiben erhalten.
• Frist: einen Monat nach dem Anlegen. So lange haben Sie Zeit für die Antwort.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Die Betroffenenanfragen öffnen

Öffnen Sie Aufbewahrung & Löschfristen wie in Teil 1, Schritt 1. Klicken Sie auf den Reiter Betroffenenanfragen (1).

1i2

Danach sehen Sie den blauen Hinweis (i): Die Suche deckt nur strukturierte Angaben ab, Erwähnungen in Freitextfeldern prüfen Sie bei Bedarf zusätzlich von Hand. Darunter steht die Liste der Anfragen.

Warum ein eigener Bereich? So hat jede Anfrage eine Frist und ein dokumentiertes Ergebnis. Das brauchen Sie als Nachweis gegenüber der Datenschutzaufsicht.

Beispiel: Bei der Beispiel GmbH steht noch „Keine Betroffenenanfrage vorhanden.“

Schritt 2: Eine Auskunftsanfrage anlegen

Klicken Sie auf Betroffenenanfrage anlegen (2). Wählen Sie im Fenster bei Art der Anfrage (1) Auskunft (Art. 15) und bei Betroffene Art (2) Nutzer (Vorgangsmelder). Tragen Sie die E-Mail-Adresse (3) ein. Klicken Sie auf Suchen und anlegen (4).

1234

Danach erscheint das Fenster Strukturierte Treffer (i). Es nennt die Person und wo sie vorkommt, etwa „Melder von 1 Vorgang/Vorgängen (email)“. Gleichzeitig steht die Anfrage in der Liste mit dem Status offen und der Frist. Schließen Sie das Fenster mit Schließen.

i

Warum erst suchen? So sehen Sie sofort, ob überhaupt Daten vorliegen. Gibt es keine Treffer, entsteht keine Anfrage.

Beispiel: knooing findet Tobias Beispiel als Melder eines Vorgangs.

Schritt 3: Die Anfrage ausführen

Klicken Sie in der Zeile der Anfrage auf Ausführen. Danach steht die Anfrage auf abgeschlossen, und unter Ergebnis (i) steht, was gefunden wurde, zusammen mit dem Hinweis, dass Freitextfelder nicht durchsucht wurden.

i

In den Spalten Betroffen und Ergebnis stehen interne Kennungen statt Namen. Die Auskunft an die Person schreiben Sie selbst, mit den Angaben aus dem Fenster Strukturierte Treffer und den Vorgängen der Person.

Warum ausführen? Erst damit gilt die Anfrage als bearbeitet und verschwindet aus den offenen Anfragen.

Beispiel: Julia führt die Anfrage aus und schreibt Tobias, dass er als Melder eines Vorgangs gespeichert ist.

Schritt 4: Eine Löschanfrage bearbeiten

Legen Sie eine neue Anfrage an wie in Schritt 2, diesmal mit Löschung (Art. 17) (1) und der passenden Art bei Betroffene Art (2), im Beispiel Lieferantenkontakt. Tragen Sie die E-Mail-Adresse ein (3) und klicken Sie auf Suchen und anlegen (4). Schließen Sie das Trefferfenster und klicken Sie in der Zeile auf Ausführen.

1234

Danach steht die Anfrage auf abgeschlossen mit dem Ergebnis „supplier_contacts: Lieferantenkontakt anonymisiert.“ (i). Name und E-Mail-Adresse der Ansprechpartnerin sind beim Lieferanten durch einen Platzhalter ersetzt.

i

Bei einer Person, die Vorgänge gemeldet hat, anonymisiert knooing das Konto nur, wenn kein offener Vorgang und kein Vorgang mit Rechtssperre mehr an ihr hängt. Sonst steht die Anfrage danach auf abgelehnt, und das Ergebnis nennt den Grund.

Warum anonymisieren statt löschen? Vorgänge und Lieferantenakten bleiben als Nachweis erhalten. Nur der Personenbezug verschwindet.

Beispiel: Julia anonymisiert den Kontakt von Anna Muster bei der inaktiven Muster Druckservice GmbH.

Wenn etwas nicht klappt

• „Keine strukturierten Treffer. Erwähnungen in Freitextfeldern (…) werden von dieser Suche NICHT geprüft …“ Unter dieser E-Mail-Adresse sind keine Daten in festen Feldern gespeichert. Prüfen Sie die Schreibweise und suchen Sie bei Bedarf von Hand in Vorgängen.
• „Geben Sie eine E-Mail-Adresse an.“ Das Feld E-Mail-Adresse ist leer.
• Die Löschanfrage steht nach Ausführen auf abgelehnt. Die Daten durften noch nicht anonymisiert werden, etwa weil der Lieferant noch aktiv ist oder die Person einen offenen Vorgang hat. Der Grund steht unter Ergebnis.
• „Diese Anfrage ist bereits abgeschlossen (…).“ Die Anfrage wurde schon ausgeführt. Legen Sie bei Bedarf eine neue an.
• „Die Ausführung ist fehlgeschlagen.“ Versuchen Sie es erneut. Bleibt die Meldung, wenden Sie sich an Ihre Administration.