Legitime DSAR-Verarbeitung

Process a data subject access request end to end.

What Is Legitime DSAR-Verarbeitung?

Ein Auskunftsantrag für eine betroffene Person (Data Subject Access Request, DSAR) ist gemäß Artikel 15 der DSGVO das Recht jeder Person, eine Bestätigung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden, und wenn ja, eine Kopie dieser Daten zusammen mit spezifischen Zusatzinformationen zu erhalten. Organisationen müssen innerhalb eines Kalendermonats nach Erhalt der Anfrage antworten. Diese Übung simuliert einen realistischen DSAR eines Kunden, der alle personenbezogenen Daten haben möchte, die Ihr Unternehmen über ihn speichert. Sie beginnen damit, die Identität des Antragstellers zu überprüfen, ohne übermäßige Dokumentation zu verlangen, ein häufiger Fehler, der wiederum gegen die Verhältnismäßigkeitsanforderungen der DSGVO verstoßen kann. Anschließend durchsuchen Sie mehrere Systeme: Ihr CRM, E-Mail-Archive, Support-Tickets, Analyseplattformen und Backup-Datenbanken. Die Herausforderung liegt in der Gründlichkeit. Aufsichtsbehörden erwarten, dass Sie Daten in jedem System finden, wo sie vorhanden sind, auch an Stellen, die Teams oft übersehen, wie Slack-Nachrichten, geteilten Laufwerken und Integrationen von Drittanbietern. Sie stellen das Antwortpaket zusammen und entscheiden, was enthalten sein soll und was im Rahmen der gesetzlichen Vertraulichkeit oder des Schutzes von Geschäftsgeheimnissen ausgenommen werden kann. Die Übung befasst sich mit den praktischen Mechanismen der Schwärzung personenbezogener Daten Dritter, die neben den Aufzeichnungen des Antragstellers erscheinen. Organisationen, die große Mengen an DSARs verarbeiten, berichten, dass sie durchschnittlich 10 bis 20 Stunden pro Anfrage aufwenden, wenn die Systeme nicht gut organisiert sind, was dies sowohl zu einer Compliance-Verpflichtung als auch zu einer betrieblichen Herausforderung macht, für die es sich zu schulen lohnt.

What You'll Learn in Legitime DSAR-Verarbeitung

Legitime DSAR-Verarbeitung — Training Steps

  1. Einführung

    Heute bearbeiten Sie einen legitimen DSAR eines verifizierten Kunden – eine Anfrage, die sorgfältige Beachtung von Fristen, Datenermittlung und Schwärzung durch Dritte erfordert.

  2. DSAR-Beleg

    Alice erhält eine neue E-Mail in ihrem geschäftlichen Posteingang. Die Betreffzeile weist darauf hin, dass es sich um eine formelle Auskunftsanfrage einer betroffenen Person handelt. Die E-Mail stammt von jennifer.martinez@acme-corp.com – einem verifizierten Kunden, dessen Unternehmen einen aktiven Vertrag mit CloudServe Technologies hat.

  3. Identitätsprüfung

    Bevor die Anfrage bearbeitet wird, muss Alice überprüfen, ob es sich bei der Person, die die Anfrage stellt, tatsächlich um Jennifer Martinez handelt. Allerdings verlangt die DSGVO, dass die Überprüfung verhältnismäßig sein muss – Alice sollte keine übermäßigen Hürden schaffen. Da die Anfrage von einer E-Mail-Adresse kam, die bereits mit dem Kundenkonto verknüpft ist und die korrekte Kunden-ID enthält, hat Alice hinreichende Gewissheit über ihre Identität.

  4. Protokollierung der Anfrage

    Alice greift auf die DSAR-Warteschlange im Datenschutzportal zu. Sie sieht, dass Jennifers Anfrage automatisch mit dem heutigen Datum protokolliert wurde, wodurch die 30-Tage-Antwortuhr beginnt. Das System zeigt alle Informationen an, die zur Überprüfung der Identität des Antragstellers anhand vorhandener Kundendaten erforderlich sind.

  5. Bestätigung senden

    Nachdem die Identität überprüft wurde, muss Alice nun eine Bestätigungs-E-Mail an Jennifer senden. Dadurch wird der Eingang der Anfrage bestätigt und die Erwartungen für den Reaktionszeitplan festgelegt. Eine gute Praxis besteht darin, DSARs umgehend anzuerkennen, auch wenn die DSGVO dies nicht unbedingt vorschreibt.

  6. Datenermittlung

    Jetzt muss Alice alle Unternehmenssysteme nach Jennifers persönlichen Daten durchsuchen. Die DSGVO erfordert die Bereitstellung aller über die Person gespeicherten personenbezogenen Daten – nicht nur an offensichtlichen Orten wie dem CRM. Alice muss Folgendes überprüfen: CRM-Datensätze, Support-Tickets, Abrechnungssysteme, E-Mail-Kommunikation, Systemprotokolle und alle Backups, die möglicherweise persönliche Daten enthalten.

  7. Datensuche ausführen

    Alice gibt Jennifers E-Mail-Adresse ein, um in allen verbundenen Systemen zu suchen. Das Datenschutzportal fragt automatisch das CRM, das Support-Ticketsystem, die Abrechnungsplattform und die Zugriffsprotokolle ab. Die Suche gibt Daten aus mehreren Quellen zurück – einige enthalten nur Daten von Jennifer, andere enthalten auch Daten über andere Personen.

  8. Supervisor-Anruf – Redaktionsanforderungen

    Bei der Durchsicht der Suchergebnisse fällt Alice auf, dass mehrere Support-Tickets Daten über andere Mitarbeiter von ACME Corp. enthalten, die wegen der Kommunikation auf CC gesetzt wurden. Sie benötigt eine Anleitung zum Umgang mit Drittdaten. Sie ruft ihren Vorgesetzten, David Chen, an, um die Redaktionsanforderungen zu besprechen.

  9. Überprüfen und Schwärzen von Daten

    Alice folgt Davids Anleitung und überprüft den kompilierten Datenexport. Sie identifiziert mehrere Informationen, die redigiert werden müssen: - E-Mail-Adressen anderer Mitarbeiter von ACME Corp in Support-Ticket-Threads – Namen der CloudServe-Mitarbeiter, die Supportfälle bearbeitet haben - Interne Ticket-IDs, die die Daten anderer Kunden preisgeben könnten Alice muss Jennifer alle ihre eigenen Daten zur Verfügung stellen und gleichzeitig die Privatsphäre anderer schützen.

  10. Schwärzungen anwenden

    Alice prüft jede Datenquelle sorgfältig und nimmt Schwärzungen vor, um Informationen Dritter zu schützen. Das Datenschutzportal hilft, indem es potenzielle Daten Dritter hervorhebt, aber Alice muss bei jeder Schwärzung die endgültige Entscheidung treffen. Sie stellt sicher, dass alle persönlichen Daten von Jennifer sichtbar bleiben, während die Informationen anderer Personen ordnungsgemäß verborgen bleiben.