Zum Hauptinhalt springen

Eine Betroffenenanfrage auf Auskunft bearbeiten (Teil 20 der Reihe DSGVO-Dokumentation)

Teil 20 der Video-Reihe "DSGVO-Dokumentation mit preeco": eine Auskunftsanfrage über das Formular auf der Website entgegennehmen, Frist und Identifikation festhalten, die betroffenen Verarbeitungstätigkeiten zuordnen und die Auskunft mit einem KI-Entwurf beantworten, den eine Person prüft.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video bearbeiten Sie in preeco | datenschutz eine Betroffenenanfrage, vom Formular auf der Website bis zur Auskunft. Eine Kundin will wissen, was Kaltenbach über sie speichert. Wie läuft so eine Anfrage ab? Jede Person darf fragen, welche Daten ein Unternehmen über sie verarbeitet. Die Antwort muss in der Regel innerhalb eines Monats kommen. Anfragen finden Sie unter Auskünfte und Vorfälle, Betroffenenanfragen. Oben stehen die Anfragen, darunter die Formulare, über die Anfragen hereinkommen. Kaltenbach hat ein Anfrageformular für die Website angelegt. Hier steht, auf welcher Website das Formular läuft und wer bei einer neuen Anfrage eine E-Mail bekommt. Bei Kaltenbach ist das Lea. Auf Wunsch fragt das Formular auch die Anschrift ab. Das hilft später, die Person zuzuordnen. Den Code für die Website kopieren Sie hier. Dann binden Sie ihn einmal auf der Website ein. So sieht das Formular auf der Kontaktseite von Kaltenbach aus. Miriam Vogt hat vor einem Jahr ein E-Bike im Webshop gekauft. Sie möchte wissen, welche Daten Kaltenbach über sie speichert. Sie schickt die Anfrage ab. In preeco steht die Anfrage sofort in der Liste. Lea hat dazu eine E-Mail bekommen. Name, E-Mail, Anschrift und Nachricht stammen direkt aus dem Formular. Unter KI-Aktionen lässt Lea die Anfrage zusammenfassen. Der Dialog sagt, welche Angaben an die KI gehen. Ein Klick startet die Zusammenfassung. Die KI fasst die Anfrage kurz zusammen und nennt, was noch offen ist. Bei langen Schreiben spart das Zeit. Unter Eigenschaften steht die Art der Anfrage, hier eine Auskunft. Die Frist zur Beantwortung setzt preeco mit dem Eingang, hier rund ein Monat. Ist eine Anfrage sehr aufwendig, verlängern Sie die Frist und schreiben den Grund dazu. Eine Verlängerung um bis zu zwei weitere Monate ist möglich. Die Person muss innerhalb des ersten Monats davon erfahren, mit Begründung. Bevor Lea Daten herausgibt, prüft sie, ob die Anfrage wirklich von Miriam Vogt kommt. Hier reicht ein Abgleich mit dem Kundenkonto. Eine Ausweiskopie fordert Lea nicht an. Welche Verarbeitungstätigkeiten betreffen die Kundin? Das hält Lea im Abschnitt Verarbeitungstätigkeiten fest. Die KI schlägt vor, welche Einträge aus dem Verzeichnis passen. Lea prüft jeden Vorschlag und nimmt heraus, was nicht passt: die Diebstahlortung, die Garantieabwicklung, die Videoüberwachung und die Website-Analyse. Es bleiben Bestellung, Newsletter und Kundenservice. Lea speichert. Jetzt die Antwort. Mit Per E-Mail antworten öffnet sich die Nachricht an Miriam Vogt. Für die Auskunft gibt es einen eigenen Entwurf. Die KI zeigt zuerst, welche Verarbeitungstätigkeiten sie verwenden will. Bestellung, Newsletter und Kundenservice sind ausgewählt. Die Website-Analyse schlägt die KI noch einmal vor, Lea wählt sie ab. Daraus entsteht der Text: Zwecke, Datenkategorien, Empfänger, Speicherdauer und die Übermittlung in die USA beim Newsletter. Wo Angaben fehlen, setzt die KI Platzhalter in eckigen Klammern. Die KI liefert einen Entwurf aus Ihrem Verzeichnis. Lea liest jeden Absatz, bevor die Antwort rausgeht. Die Platzhalter ersetzt sie durch die richtigen Angaben. Zur Auskunft gehört eine Kopie der Daten. Lea hängt den Export aus Webshop und ERP an. Die betroffene Person hat Anspruch auf eine Kopie ihrer Daten, nicht nur auf eine Beschreibung. Lea sendet die Antwort ab. Sie steht danach im Verlauf der Anfrage. Miriam Vogt bekommt eine E-Mail mit einem Link. Dort liest sie die Antwort, lädt die Kopie herunter und kann zurückschreiben, ohne Konto. Ist alles beantwortet, hält Lea den Abschluss fest. Dann schließt sie die Anfrage über Aktionen. Die Anfrage ist geschlossen. Wer sie wann bearbeitet hat, zeigt der Reiter Aktivitäten. Legen Sie die Liste der betroffenen Verarbeitungstätigkeiten an, bevor Sie antworten. Dann fehlt in der Auskunft kein System. Im nächsten Teil verschwindet in einem Store ein Tablet mit Kundendaten.

Eine Kundin der Velomanufaktur Kaltenbach möchte wissen, welche Daten das Unternehmen über sie speichert. Sie schickt ihre Anfrage über das Formular auf der Website. In diesem Teil bearbeitet Lea Brandner die Anfrage in preeco | datenschutz: Frist und Identifikation festhalten, die betroffenen Verarbeitungstätigkeiten zuordnen und die Auskunft mit einem KI-Entwurf beantworten, den sie selbst prüft und ergänzt. Dieser Artikel ist Teil 20 der Video-Reihe "DSGVO-Dokumentation mit preeco" und eröffnet die dritte Staffel.

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Ihr Verzeichnis der Verarbeitungstätigkeiten ist gepflegt, mit Zwecken, Datenkategorien, Empfängern und Regelfristen für die Löschung (Teil 05 bis 07 der Reihe).
  • Für das Anfrageformular: eine Website, auf der Sie den Code einbinden können.
  • Für die KI-Aktionen: Die KI ist für Ihr Team eingerichtet und Ihre Rolle darf sie nutzen.

Worum es geht

Jede Person darf fragen, welche Daten ein Unternehmen über sie verarbeitet (Art. 15 DSGVO). Zur Auskunft gehören unter anderem die Zwecke, die Datenkategorien, die Empfänger, die Speicherdauer und eine Kopie der Daten (Art. 15 Abs. 3 DSGVO). Die Antwort muss in der Regel innerhalb eines Monats kommen. Bei aufwendigen Anfragen ist eine Verlängerung um bis zu zwei weitere Monate möglich; die Person muss innerhalb des ersten Monats davon erfahren, mit Begründung (Art. 12 Abs. 3 DSGVO).

Das Anfrageformular für die Website

  1. Öffnen Sie im Menü Auskünfte und Vorfälle den Punkt Betroffenenanfragen. Oben stehen die Anfragen, darunter die Betroffenenanfragen - Formulare.
  2. Legen Sie unter den Formularen mit Neu ein Formular an. Unter Formulareigenschaften stehen die Domains, die Empfänger für Benachrichtigung, die bei jeder neuen Anfrage eine E-Mail bekommen, und die Option Postanschrift im Formular abfragen.
  3. Unter Einbetten klicken Sie auf In Zwischenablage kopieren und binden den Code einmal auf Ihrer Website ein.

Auf der Website gibt die Person Namen, E-Mail-Adresse und auf Wunsch ihre Anschrift ein, wählt einen Betreff, schreibt ihre Nachricht und klickt auf Anfrage absenden. In preeco steht die Anfrage sofort in der Liste, mit dem Status Neu. Der Betreff "Allgemeine Datenbestandsabfrage" wird zur Art der Anfrage Auskunft (Art. 15 DSGVO).

Die Anfrage prüfen

  1. Öffnen Sie die Anfrage. Unter Anfragende Person und Nachricht stehen die Angaben aus dem Formular.
  2. Über KI-Aktionen und Betroffenenanfrage zusammenfassen lassen Sie die Anfrage zusammenfassen. Die Zusammenfassung nennt auch, was noch offen ist.
  3. Unter Fristen stehen der Eingang der Anfrage und die Frist zur Beantwortung. Bei einer Anfrage über das Formular setzt preeco sie auf 30 Tage nach Eingang. Ist eine Anfrage sehr aufwendig, halten Sie unter Frist verlängert? die Verlängerung und ihre Begründung fest.
  4. Klicken Sie auf Bearbeiten. Unter Identifikation halten Sie fest, wie Sie geprüft haben, dass die Anfrage wirklich von der Person kommt. Bei Kaltenbach reicht ein Abgleich von E-Mail-Adresse, Anschrift und Bestellnummer mit dem Kundenkonto.
  5. Unter Verarbeitungstätigkeiten und Datenfelder ordnen Sie die Verarbeitungstätigkeiten zu, die die Person betreffen. Über KI-Aktionen und Verarbeitungstätigkeiten vorschlagen wählt die KI passende Einträge vor. Die Vorschläge passen zur Personengruppe; ob tatsächlich Daten der Person vorliegen, prüfen Sie selbst. Nehmen Sie heraus, was nicht passt, und klicken Sie auf Speichern.

Die Auskunft beantworten

  1. Klicken Sie auf Per E-Mail antworten.
  2. Im Abschnitt mit der Nachricht wählen Sie KI-Aktionen und Auskunft entwerfen, dann Vorschlagen. Die Liste zeigt, welche Verarbeitungstätigkeiten die KI verwenden will. Wählen Sie ab, was nicht passt, und klicken Sie auf Auskunft entwerfen.
  3. Die KI schreibt den Entwurf aus Ihrem Verzeichnis in das Feld Nachricht: Zwecke, Datenkategorien, Empfänger, Speicherdauer, Herkunft der Daten und Übermittlungen in Drittländer. Wo Angaben fehlen, setzt sie Platzhalter in eckigen Klammern. Lesen Sie jeden Absatz und ersetzen Sie die Platzhalter, bevor die Antwort rausgeht.
  4. Unter Dateien hängen Sie die Kopie der Daten an, bei Kaltenbach den Export aus Webshop und ERP.
  5. Klicken Sie auf Absenden. Die Antwort steht danach unter Nachrichten in der Anfrage.

Die Person bekommt eine E-Mail mit einem Link. Dort liest sie die Antwort, lädt den Anhang herunter und kann unter Ihre Antwort zurückschreiben, ohne Konto.

Die Anfrage abschließen

  1. Klicken Sie auf Bearbeiten und halten Sie unter Bearbeitung und Abschluss fest, dass die Anfrage erledigt ist, mit Erledigt am und einer Bemerkung. Klicken Sie auf Speichern.
  2. Öffnen Sie Aktionen und wählen Sie Schließen. Der Status wechselt auf Geschlossen.

Wer die Anfrage wann bearbeitet hat, zeigt der Reiter Aktivitäten.

So machen es Praktiker

Legen Sie die Liste der betroffenen Verarbeitungstätigkeiten an, bevor Sie antworten. Dann fehlt in der Auskunft kein System.

Nächster Schritt

Im nächsten Teil, Teil 21, verschwindet in einem Store ein Tablet mit Kundendaten: Kaltenbach erfasst den Vorfall und meldet ihn.

Alle Teile der Reihe

← Teil 19: Kaltenbach als Auftragsverarbeiter · Teil 21: Vorfall erfassen und melden →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten (dieser Artikel)
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen