Anfragen von betroffenen Personen gemäß GDPR: Rechte und Anforderungen

Die Datenschutz-Grundverordnung (GDPR) ist ein Gesetz der Europäischen Union, das regelt, wie Unternehmen die persönlichen Daten von EU-Bürgern sammeln und verwenden dürfen. Sie legt Standards fest, die sicherstellen sollen, dass diese Daten nicht auf eine Weise gespeichert, verarbeitet oder geteilt werden, die Individuen einem Risiko aussetzen würde. Das Gesetz gibt auch vor, wie Organisationen im Falle eines data breach reagieren müssen.

Ein wesentliches Merkmal der GDPR ist, dass sie einen Satz spezifischer Rechte der betroffenen Personen kodifiziert, die es Einzelpersonen ermöglichen, spezifische Anfragen zum Zugang zu personenbezogenen Daten an Organisationen zu stellen. Dieser Artikel erläutert, um welche Anfragen es sich handelt und wie Ihre Organisation verpflichtet ist, diese zu bearbeiten. Er bietet auch Lösungen an, die Ihnen helfen können, prompte und genaue Antworten auf GDPR-Datenanfragen zu geben, um Strafen von zehn Millionen Euro oder mehr zu vermeiden.

Welche Datentypen werden von der GDPR abgedeckt?

Unter der GDPR haben EU-Bürger spezifische Rechte bezüglich der personal data, die Organisationen über sie haben. Wichtige Beispiele für personenbezogene Daten umfassen:

• Grundlegende Identifikationsinformationen, wie Namen und Adressen
• Finanzinformationen, wie Bankkontodetails
• Persönliche Merkmale, einschließlich Nationalität, Geburtsdatum und Geschlecht
• Gesundheitsinformationen, einschließlich Details zu Gesundheitszuständen und Behinderungen
• Genetische Daten, einschließlich DNA-Testergebnissen und weiteren Informationen über die genetische Beschaffenheit
• Beschäftigungsinformationen, wie Mitarbeiternummern und Gehälter
• Online-Identifikatoren wie Benutzernamen
• Verhaltensdaten, einschließlich Informationen über Interessen oder Online-Aktivitäten
• Biometrische Daten, wie Gesichtserkennungsdaten
• Standortinformationen

Welche Stufen gibt es bei einer Datenzugriffsanfrage?

Wenn eine Person einen Antrag auf Datenzugriff stellt, ist der erste Schritt natürlich, dass die Organisation überprüft, ob sie irgendwelche personenbezogenen Daten dieser Person speichert oder verarbeitet. Falls nicht, müssen sie diesen negativen Befund der Person mitteilen, und ihre Aufgabe ist erledigt.

Andererseits, wenn die Organisation Daten für die Person speichert oder verarbeitet, muss sie zu einem zweiten Schritt übergehen und die spezifische Anfrage des Einzelnen bearbeiten. Der nächste Abschnitt erläutert die Arten von Anfragen und wie sie gehandhabt werden.

Welche Anfragen können Personen gemäß der GDPR an Organisationen stellen?

Hier sind 6 Arten von Anfragen, die Personen bei der Ausübung ihrer Rechte unter der GDPR stellen können und was sie für Ihre Organisation bedeuten.

1. Welche Informationen besitzen Sie über mich und warum?

Diese Anfrage basiert auf zwei Rechten:

• Das Recht auf Information (Artikel 13 und 14).EU-Bürger haben das Recht auf klare und genaue Angaben darüber, welche persönlichen Informationen eine Organisation über sie gesammelt hat, selbst wenn das bedeutet, zu wissen, dass das Unternehmen keine Daten über sie gesammelt hat.
• Das Recht auf Zugang (Artikel 15).Sie haben auch das Recht zu erfahren, ob und wie ihre personenbezogenen Daten verarbeitet werden, einschließlich der erfassten Datenkategorien, des Verarbeitungszwecks, der Speicherungsmethoden und -richtlinien, an wen die Daten weitergegeben werden, wie lange sie gespeichert werden und woher die Informationen stammen.

2. Sie haben falsche Informationen über mich; ich möchte, dass diese korrigiert werden.

Diese Art von Anfrage basiert auf dem Recht auf Berichtigung (Artikel 16), das Organisationen dazu verpflichtet, sicherzustellen, dass alle von ihnen gespeicherten personenbezogenen Daten korrekt und aktuell sind. Betroffene Personen haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen oder zu fordern, dass unvollständige Daten vervollständigt werden.

Um die Einhaltung sicherzustellen, benötigen Sie eine enge Integration über alle Ihre Datensysteme und Prozesse hinweg, sodass aktualisierte Daten in einem System automatisch in allen anderen Standorten korrigiert werden.

Fordern Sie eine persönliche Demo an: Erreichen und Nachweisen der GDPR-Compliance

3. Ich möchte nicht, dass Sie weiterhin Daten über mich speichern. Bitte löschen Sie diese!

Diese Art von Anfrage umfasst zwei Rechte:

• Das Recht auf Löschung (Recht auf Vergessenwerden) (Artikel 17).Eine Person kann verlangen, dass eine Organisation ihre persönlichen Informationen aus ihren Unterlagen und Ressourcen entfernt und die weitere Verbreitung der Daten unverzüglich einstellt. Das Unternehmen muss alle Daten löschen, die eines der folgenden Kriterien erfüllen:
• Wurde unrechtmäßig gesammelt
• Wird nicht mehr benötigt
• Wurde während der Kindheit der Person gesammelt
• Erscheint online

Die Organisation kann den Löschungsantrag ablehnen, wenn er gegen eines der folgenden verstößt:

• Das Recht auf Freiheit und Meinungsäußerung
• Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder wissenschaftlicher bzw. historischer Forschung
• Die Begründung, Ausübung oder Verteidigung von Rechtsansprüchen oder einer rechtlichen Anklage

Beachten Sie, dass Sie selbst dann, wenn Ihr Unternehmen berechtigt ist, die Daten einer Person zu speichern, deren Zustimmung für die weitere Verarbeitung einholen müssen.

Lesen Sie den zugehörigen Blogbeitrag: Das Recht auf Vergessenwerden: EU-Gesetze und US-Bedenken

• Das Recht auf Einschränkung der Verarbeitung (Artikel 18). Wenn unklar ist, ob die Daten einer Person gelöscht werden müssen, kann diese dennoch eine vorübergehende Einschränkung ihrer Verarbeitung beantragen, bis das Unternehmen das Problem behoben hat, die betroffene Person informiert und deren Einwilligung eingeholt hat. Die Einhaltung dieses GDPR-Rechts erfordert eine Prüfung von Fall zu Fall.

4. Ich möchte die über mich gespeicherten Informationen an einen anderen Dienstanbieter übertragen.

Das Recht auf Datenübertragbarkeit (Artikel 20) ermächtigt EU-Bürger, von einem Unternehmen zu verlangen, ihre persönlichen Daten zu einem anderen Dienstleister zu übertragen. Dieses Recht fördert die Interoperabilität, indem es die Übertragung von Nutzerdaten zwischen Datenverantwortlichen erleichtert. Es fördert auch den Wettbewerb zwischen digitalen Diensten, da Benutzer zwischen Anbietern wechseln können, ohne ihre persönlichen Daten zu verlieren.

Die Einhaltung dieser Bestimmung erfordert die Bereitstellung der Daten in einem strukturierten, maschinenlesbaren Format, das Sie direkt an die andere Partei übermitteln können.

5. Hör auf, mich anzurufen!

Personen haben das Recht, gegen Datenverarbeitungsaktivitäten (Artikel 21) Widerspruch einzulegen, wie beispielsweise die Verwendung ihrer persönlichen Daten für Marketing oder andere Zwecke. Gültige Gründe für die Ablehnung dieser Art von Anfrage umfassen den Nachweis eines der Folgenden:

• Es besteht ein berechtigtes Bedürfnis für die Verarbeitung.
• Die Anfrage ist übertrieben oder unbegründet.
• Die angeforderten Daten werden für öffentliche, historische oder statistische Zwecke verwendet.
• Die angeforderten Daten wurden zur Ausübung rechtlicher Ansprüche verwendet oder bereitgestellt.

6. Hören Sie auf, Ihrem automatisierten System zu erlauben, Entscheidungen zu treffen, die meine rechtlichen Interessen beeinflussen.

Die GDPR räumt auch Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profilerstellung (Artikel 22) ein. Wenn Sie automatisierte Entscheidungsfindung und Profilerstellung für personenbezogene Daten einsetzen, müssen Sie „aussagekräftige Informationen über die involvierte Logik sowie die Bedeutung und die vorgesehenen Konsequenzen einer solchen Verarbeitung für die betroffene Person“ bereitstellen.

Die drei gültigen Gründe für die Durchführung automatischer Verarbeitung und Profilerstellung sind:

• Die Person hat ihre Zustimmung gegeben.
• Die Verarbeitung ist für den Abschluss oder die Erfüllung eines Vertrags notwendig.
• Die Verarbeitung wird durch ein anwendbares Gesetz der Union oder eines Mitgliedstaats, das für den Verantwortlichen gilt, autorisiert.

Um Verstöße zu vermeiden, die zu hohen Bußgeldern führen könnten, stellen Sie sicher, dass Mitarbeiter Informationen nicht durch automatisierte Funktionen verarbeiten, ohne zu überprüfen, ob ein triftiger Grund dafür vorliegt.

Lesen Sie den zugehörigen Blogbeitrag: Was ist GDPR: 10 häufig gestellte Fragen

Wie kann Netwrix Ihnen helfen, auf GDPR-Anfragen zu reagieren?

Netwrix’s GDPR-Compliance-Software kann Ihnen die Sicherheit geben, dass Sie alle diese Arten von Datenanfragen reibungslos bewältigen können, indem Sie alle Informationen, die Sie über eine Person speichern, mit nur wenigen Klicks entdecken.

Im weiteren Sinne können Netwrix-Lösungen Ihrer Organisation dabei helfen, alle sensiblen und regulierten Daten zu schützen. Sie können eine starke data governance etablieren, unangemessenen Zugriff entfernen, Sicherheitsrichtlinien durchsetzen und fortgeschrittene Bedrohungen rechtzeitig erkennen, um die hohen Kosten von Sicherheitsverletzungen und Compliance-Verstößen zu vermeiden.

Unser Expertenteam verfügt nicht nur über fundiertes Wissen zum GDPR, sondern auch zum California Consumer Privacy Act (CCPA) und vielen anderen Datenschutzvorschriften. Sie bieten Organisationen maßgeschneiderte, fokussierte Beratung, um ihre Compliance-Anforderungen zu erfüllen. Um mehr zu erfahren, melden Sie sich für eine Demo an oder laden Sie eine Abbildung der GDPR-Anforderungen und Netwrix-Funktionalität herunter.

Häufig gestellte Fragen

Was ist eine GDPR-Anfrage?

Antrag auf Zugang zu personenbezogenen Daten Die GDPR-Vorschriften erlauben es Einzelpersonen, von einer Organisation zu verlangen, eine Kopie der über sie gespeicherten personenbezogenen Daten bereitzustellen, ihre Daten zu löschen, die Daten an einen anderen Anbieter zu übertragen und so weiter. Organisationen, die diese Anfragen nicht innerhalb des festgelegten Zeitraums erfüllen, stehen vor hohen Bußgeldern.

Was ist das Recht auf Zugangsanfrage nach der GDPR?

Ein right of access ist auch bekannt als „subject access“. Dies ist das Recht, das Einzelpersonen haben, um Kopien ihrer eigenen persönlichen Informationen und Daten sowie zusätzliche Daten unter der Schutzverordnung GDPR zu erhalten. Das Recht soll Personen befähigen zu verstehen, wie und warum Organisationen ihre Daten verwenden.

Was beinhaltet das Recht auf Zugang nach der GDPR?

Die Informationen, auf die betroffene Personen nach der GDPR ein Recht auf Zugang haben, umfassen:

• Die Kategorien personenbezogener Daten, die verarbeitet werden
• Wie lange die Organisation plant, ihre persönlichen Informationen zu speichern
• Die Empfänger oder Kategorien von Empfängern personenbezogener Daten
• Informationen darüber, woher die Daten stammen
• Die Existenz eines automatisierten Entscheidungsfindungsprozesses

Wenn personenbezogene Daten in ein Drittland ohne angemessenen Schutz übermittelt werden, müssen die betroffenen Personen über die verwendeten Sicherheitsmaßnahmen zum Schutz ihrer Daten informiert werden.

Welche Rechte haben betroffene Personen nach der GDPR?

Unter der GDPR haben data subjects bestimmte Rechte, die sie in Bezug auf ihre persönlichen Daten ausüben können. Zu diesen Rechten gehören:

• Das Recht, alle über sie gesammelten Informationen zu erhalten
• Das Recht auf Berichtigung fehlerhafter oder unvollständiger Daten
• Das Recht, die Verarbeitung ihrer Daten einzuschränken
• Das Recht auf Datenübertragbarkeit damit sie problemlos Anbieter wechseln können
• Das Recht, nicht ausschließlich auf der Grundlage automatisierter Verarbeitung getroffenen Entscheidungen unterworfen zu sein
• Das Recht, der Art und Weise zu widersprechen, wie ihre Daten gespeichert oder verarbeitet werden
• Das Recht auf Löschung von Daten

Müssen Unternehmen die GDPR einhalten?

Jede Organisation, die Daten von EU-Bürgern speichert oder verarbeitet, muss die GDPR einhalten. Bei Nichteinhaltung können Strafen von bis zu 2% des weltweiten Gesamtumsatzes des Unternehmens für das vorangegangene Geschäftsjahr oder 10 Millionen Euro, je nachdem, welcher Betrag höher ist, verhängt werden.