Compliance-Lexikon · DSGVO
Betroffenenrechte – Praxis
Betroffenenrechte wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert ein zentraler, dokumentierter Prozess zur Erfassung und fristgerechten Beantwortung von Betroffenenanfragen?
Gap-Check
Existiert ein zentraler, dokumentierter Prozess zur Erfassung und fristgerechten Beantwortung von Betroffenenanfragen?
Häufige Fehler in der Praxis
- Anfragen gehen an verschiedenen Stellen ein, ohne zentral erfasst zu werden
- Fristen werden nicht systematisch überwacht, sondern manuell im Kopf behalten
- Löschanfragen scheitern an technischen Altsystemen ohne Löschfunktion
Praxis-Tipp
Die Ein-Monats-Frist beginnt mit Eingang der Anfrage, nicht mit deren Bearbeitung durch die zuständige Abteilung. Ein zentrales Postfach mit automatischer Fristerinnerung verhindert verspätete Antworten.
Identitätsprüfung ohne Übertreibung
Vor Beantwortung einer Anfrage muss die Identität der anfragenden Person geprüft werden, um Datenweitergabe an Unbefugte zu verhindern. Die Prüfung muss verhältnismäßig sein: bei einer einfachen Auskunft über eine bekannte Kundennummer genügen oft weniger strenge Nachweise als bei sensiblen Gesundheitsdaten.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Prozessdokumentation, Nachweis bearbeiteter Anfragen mit Eingangs- und Antwortdatum, Vorlage für Identitätsprüfung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Betroffenenrechte über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.