§Überblick
Ein DSAR-Workflow sollte Datenschutz, Recht, IT, HR, Kundenservice und externe Auftragsverarbeiter zusammenbringen. Der Leitfaden zur DSAR-Pipeline von RegulatoryBridge beschreibt einen praxisnahen Ansatz in fünf Phasen für die Bearbeitung von Anträgen – gestützt auf jurisdiktionsspezifische Fristen, eine verhältnismäßige Identitätsprüfung, einen sicheren Umgang mit Daten und eine auditfähige Dokumentation.
Das Ziel: ein abgestimmter operativer Workflow, der flexibel genug ist, um unterschiedliche rechtliche Anforderungen in verschiedenen Jurisdiktionen zu erfüllen.
§Was ist ein Auskunftsersuchen der betroffenen Person (DSAR)?
Ein Data Subject Access Request ist der Antrag einer Person, ihr Recht auf Auskunft über die personenbezogenen Daten auszuüben, die eine Organisation über sie speichert oder verarbeitet. Je nach anwendbarem Recht können damit verbundene Datenschutzrechte Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung der Verarbeitung und Widerspruch umfassen.
Organisationen sollten Auskunftsersuchen von anderen Anträgen zu Datenschutzrechten unterscheiden, da für sie jeweils unterschiedliche Voraussetzungen, Prüfanforderungen, Ausnahmen und Antwortfristen gelten können.
Ein gut gestalteter DSAR-Prozess hilft Organisationen, einheitlich zu antworten und zugleich personenbezogene Daten, Rechte Dritter und vertrauliche Informationen zu schützen.
Die fünf Phasen im Überblick
§Die fünfstufige DSAR-Pipeline
Phase 1: Eingang und Registrierung des Antrags
Ziel: Anträge korrekt erfassen und Verantwortlichkeiten festlegen.
Betroffene Personen können Anträge per E-Mail, Webformular, über den Kundenservice, per Post oder über andere verfügbare Kanäle stellen. Mitarbeitende sollten gültige Anträge auch dann erkennen, wenn die Person den Begriff DSAR nicht verwendet oder kein bestimmtes Datenschutzgesetz nennt.
Empfohlene Maßnahmen:
- Klare Hinweise dazu bereitstellen, wie Anträge zu Datenschutzrechten gestellt werden können.
- Datum und Uhrzeit des Antragseingangs festhalten.
- Ein eindeutiges Aktenzeichen vergeben.
- Feststellen, welches Recht ausgeübt wird.
- Die angegebene Identität und die Kontaktdaten der antragstellenden Person festhalten.
- Möglicherweise einschlägige Jurisdiktionen und Regelwerke ermitteln.
- Den Eingang bestätigen, soweit dies erforderlich oder sinnvoll ist.
- Eine zuständige Person benennen und die geltende Antwortfrist festhalten.
Ergebnis: Ein registrierter Antrag mit Aktenzeichen, zuständiger Person und erster Fristeinschätzung.
Phase 2: Verhältnismäßige Identitätsprüfung
Ziel: Personenbezogene Daten schützen, ohne unnötige Hürden für die Ausübung von Datenschutzrechten zu schaffen.
Prüfen Sie vor der Offenlegung personenbezogener Daten, ob der Organisation ausreichende Informationen vorliegen, um die Identität der antragstellenden Person zu überprüfen. Der Umfang der Prüfung sollte sich an den Umständen, der Sensibilität der Informationen und den geltenden rechtlichen Anforderungen orientieren.
Empfohlene Maßnahmen:
- Wo sinnvoll, ein authentifiziertes Konto oder eine bestehende Kundenbeziehung nutzen.
- Die gemachten Angaben mit bereits vorhandenen Datensätzen abgleichen.
- Zusätzliche Nachweise nur anfordern, wenn dies vernünftigerweise erforderlich ist.
- Ein sicheres Verfahren für bevollmächtigte Vertreter einrichten.
- Den Zugriff auf Identitätsnachweise beschränken und diese löschen, sobald sie nicht mehr benötigt werden – vorbehaltlich geltender Aufbewahrungspflichten.
- Die Entscheidung über die Identitätsprüfung und ihre Begründung festhalten.
Verlangen Sie nicht routinemäßig einen amtlichen Ausweis, wenn weniger eingriffsintensive Methoden ausreichen. Die Anforderungen an die Identitätsprüfung und deren Auswirkung auf gesetzliche Fristen unterscheiden sich je nach Jurisdiktion.
Ergebnis: Eine dokumentierte Entscheidung über die Identitätsprüfung und eine klare Aufstellung noch fehlender Informationen.
Phase 3: Datenermittlung und -zusammenstellung
Ziel: Relevante personenbezogene Daten in der gesamten Organisation und bei ihren Dienstleistern auffinden.
Ein verlässlicher DSAR-Prozess setzt voraus, dass bekannt ist, wo personenbezogene Daten gespeichert sind, wie sie identifiziert werden und welche Teams oder Dienstleister an der Suche mitwirken müssen.
Mögliche Quellen sind:
- Kundendatenbanken und Systeme zur Kontoverwaltung
- CRM-, Abrechnungs- und Kundenservice-Plattformen
- E-Mail-, Messaging- und Kollaborationstools
- HR- und Personalverwaltungssysteme
- Marketing-, Analyse- und Werbeplattformen
- Data Warehouses und Geschäftsanwendungen
- Sicherheitsprotokolle und Audit-Aufzeichnungen
- Relevante Datensätze bei Auftragsverarbeitern und Dienstleistern
- Archive und Backups, soweit einschlägig
Empfohlene Maßnahmen:
- Ein Verzeichnis der Systeme und Datenverantwortlichen führen.
- Suchverfahren anhand verlässlicher Kennungen festlegen.
- Sich mit den relevanten Auftragsverarbeitern und internen Teams abstimmen.
- Die durchsuchten Systeme, die Suchkriterien und die Suchzeitpunkte festhalten.
- Prüfen, ob weitere Suchen erforderlich sind.
- Dokumentieren, welche Systeme oder Datenquellen nicht durchsucht werden konnten und warum.
Verzeichnisse von Verarbeitungstätigkeiten können helfen, relevante Systeme zu ermitteln, sollten aber durch technische Bestandsübersichten und operatives Wissen ergänzt werden.
Ergebnis: Eine Zusammenstellung möglicherweise einschlägiger Datensätze mit dokumentierter Suchabdeckung.
Phase 4: Prüfung, Schwärzung und Ausnahmen
Ziel: Eine zutreffende Antwort vorbereiten und zugleich andere Rechte und Interessen schützen.
Zusammengestellte Informationen sollten vor der Offenlegung geprüft werden. Nicht jedes Dokument, das personenbezogene Daten enthält, muss vollständig herausgegeben werden; manche Informationen sind zu schwärzen oder können unter eine anwendbare Ausnahme fallen.
Die Prüfung kann Folgendes umfassen:
- Bestätigen, dass sich die Datensätze auf die antragstellende Person beziehen.
- Personenbezogene Daten Dritter entfernen oder schützen, soweit erforderlich.
- Anwendbare gesetzliche Vertraulichkeitsprivilegien und Ausnahmen prüfen.
- Vertrauliche Geschäftsinformationen prüfen, soweit rechtlich relevant.
- Richtigkeit und Vollständigkeit der Antwort kontrollieren.
- Informationen im vorgeschriebenen oder geeigneten Format aufbereiten.
- Bei komplexen, strittigen oder risikoreichen Fällen eine rechtliche Prüfung einholen.
Vermeiden Sie es, ganze Dokumente automatisch zu schwärzen, nur weil sie Informationen über Dritte enthalten. Prüfen Sie, ob Informationen durch verhältnismäßige Schwärzung oder andere Maßnahmen in fairer Weise offengelegt werden können.
Ergebnis: Ein geprüftes Antwortpaket mit dokumentierten Schwärzungen, Auslassungen und deren Begründung.
Phase 5: Sichere Zustellung und Abschluss des Vorgangs
Ziel: Angemessen antworten und eine prüffähige Dokumentation führen.
Sobald die Antwort geprüft und freigegeben ist, stellen Sie sie über einen sicheren Kanal zu, der den betreffenden Informationen und den geltenden Anforderungen angemessen ist.
Empfohlene Maßnahmen:
- Die geltende Antwortfrist und eine etwaige zulässige Verlängerung bestätigen.
- Die erforderlichen personenbezogenen Daten und ergänzenden Informationen bereitstellen.
- Eine Ablehnung oder Einschränkung erläutern, soweit gesetzlich vorgeschrieben.
- Einschlägige Hinweise auf Beschwerde- oder Überprüfungsrechte aufnehmen.
- Sensible Antwortdateien verschlüsseln oder anderweitig schützen.
- Empfänger und Zustelladresse überprüfen.
- Datum, Art und Ergebnis der Zustellung festhalten.
- Die Vorgangsakte gemäß einer dokumentierten Aufbewahrungsrichtlinie aufbewahren.
- Offene Maßnahmen und gewonnene Erkenntnisse nachverfolgen.
Ergebnis: Eine abgeschlossene Vorgangsakte mit Antrag, Identitätsprüfung, Suchen, Prüfentscheidungen, Antwort und Zustellnachweis.
§DSAR-Antwortfristen nach Jurisdiktion
Die Antwortfrist hängt vom anwendbaren Recht und vom konkret ausgeübten Recht ab. Die folgende Übersicht verdeutlicht, warum Organisationen Workflows vorhalten sollten, die die jeweilige Jurisdiktion berücksichtigen.
| Regelwerk | Allgemeiner Fristgrundsatz |
|---|---|
| EU GDPR | Antwort unverzüglich und grundsätzlich innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann eine Verlängerung um weitere zwei Monate möglich sein, sofern die erforderliche Mitteilung samt Begründung erfolgt. |
| UK GDPR | Grundsätzlich ein Monat, mit einer möglichen Verlängerung um bis zu zwei weitere Monate, soweit zulässig und ordnungsgemäß mitgeteilt. |
| Kalifornien CCPA/CPRA | Erfasste Auskunftsanträge („Requests to Know“) und verwandte Anträge, die den einschlägigen Vorschriften unterliegen, sind grundsätzlich innerhalb von 45 Kalendertagen zu beantworten. Weitere 45 Tage können möglich sein, wenn dies vernünftigerweise erforderlich ist und die vorgeschriebene Mitteilung erfolgt. |
| Indien DPDPA | Prüfen Sie die einschlägigen Bestimmungen zum Inkrafttreten und die Rules, bevor Sie die Anforderungen an die Beantwortung von Rechten der Data Principals als wirksam behandeln. Das Regelwerk tritt stufenweise in Kraft. |
| Brasilien LGPD | Die Bestätigung der Verarbeitung und die Auskunft richten sich nach Artikel 19, einschließlich einer sofortigen vereinfachten Antwort und einer vollständigen Erklärung innerhalb von 15 Tagen, vorbehaltlich der einschlägigen Bestimmungen. |
| Japan APPI | Anträge auf Offenlegung gespeicherter personenbezogener Daten sind nach Artikel 33 unverzüglich zu bearbeiten, vorbehaltlich der geltenden Ausnahmen und Verfahren. |
| Singapur PDPA | Auskunftsersuchen sind grundsätzlich so bald wie vernünftigerweise möglich zu bearbeiten; die geltenden Anforderungen und die Leitlinien der Aufsichtsbehörde sollten für den jeweiligen Antrag geprüft werden. |
Diese Tabelle ist eine Zusammenfassung und ersetzt nicht die Prüfung der aktuellen Rechtslage. Für andere Datenschutzrechte können abweichende Fristen gelten, und es können zusätzliche branchenspezifische oder vertragliche Anforderungen bestehen.
Empfehlung für die Praxis: Legen Sie interne Meilensteine fest, die ausreichend Zeit für Datenzusammenstellung, Prüfung und sichere Zustellung lassen. Gehen Sie nicht davon aus, dass die Frist einer Jurisdiktion automatisch für jeden Antrag gilt.
§Häufige DSAR-Herausforderungen und wie Sie ihnen begegnen
Anträge gehen über mehrere Kanäle ein
Mitarbeitende können Datenschutzanträge über Support-Tickets, E-Mail oder soziale Medien erhalten. Schulen Sie Ihre Mitarbeitenden darin, solche Anträge zu erkennen und an einen zentralen Workflow weiterzuleiten, ohne die Registrierung unnötig zu verzögern.
Personenbezogene Daten sind über mehrere Systeme verteilt
Führen Sie ein aktuelles Datenverzeichnis, Aufzeichnungen über Systemverantwortlichkeiten und dokumentierte Suchverfahren. Automatisieren Sie die Extraktion, wo es sinnvoll ist, behalten Sie für komplexe Datensätze jedoch eine menschliche Prüfung bei.
Übermäßige oder unzureichende Identitätsprüfung
Wenden Sie ein verhältnismäßiges, risikobasiertes Prüfverfahren an. Übermäßige Anforderungen an Identitätsnachweise können Datenschutzrisiken und unnötige Hürden schaffen, während eine unzureichende Prüfung zu einer unbefugten Offenlegung führen kann.
Informationen über Dritte und vertrauliche Unterlagen
Nutzen Sie ein dokumentiertes Prüfverfahren, um anwendbare Ausnahmen zu ermitteln und die Rechte anderer Personen zu schützen. Halten Sie fest, warum Informationen zurückgehalten oder geschwärzt wurden.
Versäumte Fristen
Verfolgen Sie gesetzliche Fristen, Verlängerungsmöglichkeiten, den Stand der Identitätsprüfung und Abhängigkeiten in einem zentralen Fallmanagementsystem. Eskalieren Sie komplexe Anträge frühzeitig, statt abzuwarten, bis die Frist näher rückt.
Wiederholte oder exzessive Anträge
Prüfen Sie, ob das einschlägige Recht ein Entgelt oder eine Ablehnung zulässt, und dokumentieren Sie die Rechtsgrundlage. Stufen Sie wiederholte Anträge nicht automatisch als missbräuchlich ein; wenden Sie den einschlägigen rechtlichen Maßstab auf den konkreten Sachverhalt an.
§Checkliste zur DSAR-Pipeline
Prüfen Sie mit dieser Checkliste, ob Ihre Organisation über die wesentlichen Prozesskontrollen verfügt.
- Ein dokumentiertes Verfahren für die Entgegennahme und das Erkennen von Anträgen
- Ein zentrales Register mit Vorgangs-IDs und Fristenüberwachung
- Klare Zuständigkeiten und Eskalationswege
- Verfahren für eine verhältnismäßige Identitätsprüfung
- Ein Verzeichnis der Systeme und der zuständigen Datenverantwortlichen
- Verfahren für die Abstimmung mit Auftragsverarbeitern und Dienstleistern
- Dokumentierte Entscheidungen zu Prüfung, Schwärzung und Ausnahmen
- Sichere Zustellung der Antwort und Überprüfung des Empfängers
- Aufzeichnungen über Kommunikation, Suchen und Entscheidungen
- Jurisdiktionsspezifische Regeln zu Fristen und Verlängerungen
- Mitarbeiterschulungen und regelmäßige Prozesstests
- Eine dokumentierte Aufbewahrungsrichtlinie für DSAR-Vorgangsakten
§Häufig gestellte Fragen
Was ist der Unterschied zwischen einem DSAR und einem Subject Access Request?
Ein Subject Access Request bezeichnet üblicherweise den Antrag einer Person auf Auskunft über personenbezogene Daten nach einem bestimmten Datenschutzregime, etwa der UK GDPR. DSAR ist ein weiter gefasster operativer Begriff, der häufig für Auskunftsersuchen und in manchen Organisationen auch für verwandte Anträge zu Datenschutzrechten verwendet wird. Die genauen Rechte hängen vom anwendbaren Recht ab.
Wann beginnt die Antwortfrist für einen DSAR?
Wann die Antwortfrist beginnt, bestimmt das anwendbare Recht. Nach der GDPR knüpft die allgemeine Monatsfrist an den Eingang des Antrags an. Es sollte nicht davon ausgegangen werden, dass eine Identitätsprüfung oder Rückfrage die Frist automatisch hemmt.
Kann eine Organisation einen DSAR ablehnen?
Ein Antrag kann abgelehnt oder eingeschränkt werden, wenn eine konkrete Rechtsgrundlage dies erlaubt, etwa bei bestimmten offenkundig unbegründeten oder exzessiven Anträgen nach der GDPR oder aufgrund anwendbarer gesetzlicher Ausnahmen. Die Organisation sollte die Umstände prüfen, ihre Begründung dokumentieren und die erforderliche Erläuterung geben.
Muss eine Organisation jedes System durchsuchen?
Sie sollte eine angemessene, sachgerecht zugeschnittene Suche durchführen, die ihren rechtlichen Pflichten genügt. Welche Systeme relevant sind, hängt von den Verarbeitungstätigkeiten der Organisation und vom Antrag ab. Grenzen der Suche sollten geprüft und dokumentiert und nicht als automatische Ausnahmen behandelt werden.
Lässt sich die Bearbeitung von DSARs automatisieren?
Ja. Eingang, Fallzuweisung, Fristenerinnerungen, Systemsuchen, Datenextraktion und Workflow-Nachverfolgung lassen sich automatisieren. Die menschliche Prüfung bleibt wichtig bei Streitigkeiten über die Identität, bei Rechten Dritter, gesetzlichen Ausnahmen und komplexen Offenlegungsentscheidungen.
Wie sollten DSAR-Unterlagen aufbewahrt werden?
Führen Sie so viel Dokumentation, dass sich nachweisen lässt, wie der Antrag bearbeitet wurde – vorbehaltlich der geltenden Anforderungen an Aufbewahrung und Datenminimierung. Bewahren Sie nur die Informationen auf, die für die Rechenschaftspflicht, rechtliche Verpflichtungen und legitime betriebliche Zwecke benötigt werden.
Einen wirksameren DSAR-Prozess aufbauen
Ein gut gestalteter DSAR-Workflow kann die Einheitlichkeit verbessern, den manuellen Aufwand verringern und die Rechenschaftspflicht in Ihrer gesamten Organisation stärken. Entscheidend ist, einen einheitlichen operativen Prozess mit den jurisdiktionsspezifischen Regeln zu verbinden, die bestimmen, was wann offenzulegen ist.
RegulatoryBridge unterstützt Ihre Organisation dabei, ihre Verfahren für Datenschutzrechte zu bewerten, operative Lücken zu erkennen und einen strukturierten Ansatz für grenzüberschreitende Compliance zu entwickeln.
Kontaktieren Sie RegulatoryBridge, um Ihren DSAR-Prozess und Ihre Anforderungen an die Datenschutz-Compliance zu besprechen.