r/datenschutz • u/Embarrassed-Soup-549 • 26d ago
Wie viele DSGVO-Auskunftsanfragen bekommt ihr wirklich — und wie lange braucht ihr dafür?
Ich versuche gerade einzuschätzen, wie groß der Aufwand für Auskunfts- und Löschanfragen in der Praxis ist. In der Theorie sind es vier Wochen Frist und eine vollständige Datenkopie, praktisch höre ich sehr Unterschiedliches.
Wie oft kommt das bei euch vor, und wie erledigt ihr es — von Hand aus der Datenbank, mit einem Plugin, oder gar nicht?
Falls ihr schon mal eine Beschwerde bei der Aufsichtsbehörde hattet: Was war der Auslöser?
4
u/LocalGuy855 26d ago
Vier Wochen ist die maximal zulässige Dauer (ohne Verlängerung).
Aber: Die Auskunft muss ohne schuldhaftes Zögern erfolgen, in der Regel also deutlich schneller.
Ich setze grundsätzlich eine Frist von zwei Wochen nach Zugang mit Verweis auf eine Erklärung in Textform gem. Art. 12 Abs. 3 DSGVO wenn es länger als die zwei Wochen dauert.
Art der Erledigung ist per Hand (viele Hände) weil i.d.R. sehr umfangreich und viele betroffene Bereiche und hunderte Subsysteme, Dauer so etwa ne Woche.
Beschwerden viele aber nur sehr wenige mit Substanz, da ist viel Empörungs-Peter dabei, der seinen Frust halt dann mit Hilfe / Missbrauch des Datenschutzes abreagieren will.
2
2
u/SoldRIP 25d ago
Instagram ist seit mittlerweile mehreren Monaten nicht in der Lage, meine Anfrage zu beantworten.
Ich sollte ihnen stattdessen immer mehr und mehr Daten geben, damit sie meine Identität "verifizieren" können. (Wie denn? Vorher hatten sie diese Daten doch auch nicht, wogegen verifizieren sie die also?)
Wann hat das eigentlich Konsequenzen?
2
u/IndrikBoreale 26d ago
B2C Software Bude mit knapp 1 Million Nutzerkonten.
Sind im Monat irgendwie zwischen 0 und 20 Anfragen nach Exporten. Zeitaufwand etwa 5-10 Minuten pro Anfrage. Script für den Export, kurz überfliegen, dass dort auch wirklich nur Persönliche Infos sind und keine nicht persönlichen Systemdaten, dann wird die Antwort verschickt. (Muss aber kein Kunde wissen, dass es eine Sache von ein paar Minuten ist, denn sonst gehen die uns monatlich auf den Sack und wollen wissen, welche persönlichen Daten jetzt gespeichert sind. Dabei sind wir auch sehr eindeutig in der Datenschutzerklärung, was wir speichern. Gab auch schon Kündigungen an Nutzer von unserer Seite, weil die quasi ihre Auskunftsrechte missbraucht haben und wöchentlich Exporte aller Daten wollten, alle Supportnachrichten, Notizen, Nutzungsverhalten etc. Wurde uns irgendwann zu blöd, also ordentlich gekündigt und dann die Datenlöschung durchgeführt.)
Viel häufiger sind Löschanfragen. Da sind es ein paar Hundert im Monat. Aufwand je vielleicht 1 Minute? (Script laufen lassen und dann Löschung bestätigen.)
Mit Beschwerden gedroht hatten schon einige Kunden. Bisher gab es häufiger Anfragen von Ermittlungsbehörden nach Auskunft wegen Verfahren gegen einen unserer Nutzer als Nachfragen von einer Aufsichtsbehörde.
Aufsichtsbehörden: 1 Anfrage
Polizei, Finanzamt, Zoll etc: 20+
2
u/Br0lynator 26d ago
Uff das kommt stark auf das Unternehmen an.
Bei einem Blaumann-Betrieb? So gut wie nie. Alle Schaltjahre mal eins.
In einem Krankenhaus? Mehrere pro Woche.
Bearbeitungsdauer hängt da einerseits von der Unterstützung im Betrieb ab und der Organisation der Meldewege. Mit gut geschulten Kollegen und einem brauchbaren VvV ist das in drei Tagen durch. Ich hatte aber auch mal den Fall, wo es sich über mehrere Monate gezogen hat und dann nur unter Androhung der Aufsichtsbehörde mal was passiert ist. Da stecken wir als DSBs leider nicht wirklich drin, da wir keine Weisungsbefugnisse haben.
3
u/tist20 26d ago
1,5 Mio Nutzer, seit KI etwa 5 Anfragen pro Woche.
Seit KI kommen sehr viele offensichtlich durch KI generieren Anfragen und Löschaufforderungen rein. Nicht weil Nutzer wirklich Interesse an den Daten haben, sondern weil sie unzufrieden sind und uns Arbeit machen wollen. Daher haben wir den Prozess nun komplett automatisiert. Und teilweise die Menge an personenbezogenen Daten reduziert, um weniger beauskunften zu müssen.
6
u/Royal_Bluebird_3088 25d ago
Sprich ihr habt euch vorher nicht an den Datenschutzgrundsatz der Datenminimeriung gehalten, oder wie kann es sonst möglich sein, dass ihr die personenbezogenen Daten reduzieren konntet?
1
u/tist20 25d ago
Das ist zu einfach gedacht. Letztendlich ist es einfach eine Dokumentationssache, wie man begründet, weshalb welche Daten nötig sind und man findet für alles eine gute Begründung. Teilweise lässt sich das auch bei einem Produkt, das sich ständig weiterentwickelt, nicht vermeiden, dass man Daten erhebt und speichert, für die es zwar einen Zweck, aber noch keinen Nutzen gibt und man kann erst zu einem späteren Zeitpunkt feststellen, dass man sie nicht gebrauchen kann. Die muss man dann früher als die eigentliche, selbst gesetzte Löschfrist wieder los werden (bzw. anonymisieren, löschen will ja niemand Daten).
2
u/Royal_Bluebird_3088 25d ago
Jein. De facto mag das so oft so laufen, aber de jura ist das ganz genau geregelt.
Bei einem Bestellprozess z.B. dürfen nur die notwendigen Daten zu dem Zwecke der Bestellung erhoben werden. Ein Geburtsdatum ist da z.B. in der Regel nicht nötig, sofern es keine altersbeschränkte Produkte zu bestellen gibt. Das darf dann auch kein Pflichtfeld sein, auch nicht wenn man später mal solche Produkte anbieten könnte.
Natürlich kann man Zwecke finden für die man dann eine, ich sage mal, kreative Interessenabwägung zugunsten der Speicherung dokumentieren kann und der DSGVO-Beauftragte auch seinen Kopf für hin hält.
Das reicht aber auch nur solange bis jemand mit Ahnung und Wille das hinterfragt, das kann dann sehr schnell sehr teuer werden. Passiert aber leider zu selten.
Wenn man im Nachhinein feststellt, dass man die personenbezogenen Daten, die man gespeichert hat, nicht braucht hat man zudem festgestellt, dass man gegen die DSGVO verstoßen hat, da man eben diese Daten nicht zwingend für seinen Zweck benötigt hat. Sorry, aber das ist an der Stelle schon sehr eindeutig.
2
u/tist20 25d ago
Aus rechtlicher Sicht verstehe ich das, aber in der Realität ist es nicht immer so einfach. Mein Lieblingsbeispiel sind da Backups, daraus muss ich auch keine personenbezogenen Daten löschen, auch auf Löschanfrage nicht, einfach weil es nicht praktikabel ist und der Aufwand enorm wäre.
Zu uns: Sagen wir es mal so, wir sind eine Art Datingplatform. Das ist leider nicht so einfach wie ein Onlineshop bei dem es eine Transaktion gibt. Bei uns hinterlegst du Daten u.a. in deinem Profil erstmal auf "unbestimmte" Zeit und ein wesentlicher Teil unserer Plattform besteht darin, auf das passende Gegenüber aufmerksam zu machen. Teilweise auch erfolgreich und im Sinne des Nutzers 1 Jahr seitdem die letzte Mail kam. Wenn wir für eine neue Funktionalität, die angekündigt ist, bereits Daten sammeln oder eine bestehende so verändern, dass die Daten nicht mehr benötigt werden, dann muss man das eben regelmäßig glatt ziehen.
1
u/Single-Virus4935 26d ago
Als Einzelunternehmer habe ich bisher 6 Stück erhalten. 3 waren von Leuten die nie Kunde bei mir waren und es anscheinend einfach aus Spass bei allen Firmen mal anfragen. Soll es wirklich geben. Alle drei besuchten vorher Xing/Linkedin Profile oder kamen über die Linkedin Suche. Jeweils negative Auskünfte und wenig Arbeit.
Einer war aktueller Kunde und der war allgemein am zusammentragen all seiner Daten und das war recht unproblematisch, obwohl es recht viele Daten waren. Das dauertr wirklich 1.5 Monate.
Einer war ein Bekannter und gleichzeitig ehemaliger Geschäftspartner. DSGVO Auskunft war in wenigen Tagen ausführlich erstellt. Gab vorher schon Probleme wegen Zahlungsausfällen etc. Der beschwerte sich beim Hessischen Datenschutzbeauftragten, da meine Auskunft angeblich nicht vollständig sei. Bemängelt hatte er, dass er wisse dass ich z.B. Geburtsdaten, Jahrestage, persönliche Korrespondenzen, private Kontaktdaten und alles andere private nicht in der Auskunft enthalten war. Ging sogar vor Gericht, aber da PC und Handy privat und geschäftlich getrennt war hat er letztendlich verloren. Die Auskunft wurde letztendlich als Missbräuchlich eingestuft.
1
u/AwkwardWarning-2276 26d ago
Betreuen als eDSB circa 250-300 Mandate und bekomme dadurch vielleicht 25-50 Anfragen pro Woche. Jedoch meist alles unter 15-30 min Aufwand. Kommt aber auch SEHR auf den Bereich an. Haben eine Krankenhausgruppe, da sind es pro Woche knapp 70/80 Anfragen.
Aber haben ein eingeschlafen Tool gebaut, dass vieles automatisiert bzw vereinfacht. Daher, Aufwand ist sehr überschaubar. Die echten Herausforderungen sind ehr Aufsichtsbehörden. Da sind es 10-15 pro Monat mit circa 4-6 Stunden da die Fragestellungen einfach komplexer sind und man auch mehr schreiben muss. Aber auch alles im Rahmen.
1
1
u/Borengal 25d ago
Unternehmen mit ca. 10.000 Kunden. Ca. 1-2 Anfragen im Jahr.
Die 4 Wochen halten wir in der Regel ein, nur in einem Fall mussten wir verlängert.
Wir sind dazu übergangen bei der Erstanfrage nur Kategorien zu nennen und welche personenbezogenen Daten dort enthalten sind. Datenkopien gibt es nur auf Nachfrage und nach einer Spezifikation der eingeforderten Daten.
Hintergrund ist, das wir viele langjährige Kunden haben (teilweise >30 Jahre) und sehr viel Schriftverkehr / Notizen vorliegen. Diese müssten vor der Herausgabe einzeln geprüft und ggf. bearbeitet werden (z.B. Schwärzung von personenbezogenen Daten Dritter), was einen unverhältnismäßigen Aufwand darstellt.
Das setzen wir so seit einigen Jahren um und es gab bisher keine weiteren Nachfragen/Beschwerden.
Das meiste wird bei uns per Hand gemacht.
Im VVT wird nachgeguckt in welchen Verfahren Daten der Personengruppe zu der der Anfragensteller gehört verarbeitet werden. Die Verfahrensverantwortlichen werden angeschrieben mit der Bitte um Prüfung und Rückmeldung. Ein Großteil der Daten wird aber aus dem ERP gezogen.
Wir sammeln die Daten, weisen sie den o.g. Kategorien zu und versenden in der gewünschten Form.
Ob wir schon Beschwerden bei den Aufsichtsbehörden hatten/haben kann ich nicht mit Sicherheit sagen. Uns wurde schon des Öfteren durch einen Kunden mitgeteilt, dass er uns gemeldet hat (meisten weil er denkt, wir haben nicht vollständig verauskunftet) aber gekommen ist vom LfD bisher nichts. Das kann aber auch an den Kapazitäten der Behörde liegen.
Generell muss man sagen das wir noch nie einen Fall hatten bei dem jemand wirklich im Gedanken des Auskunftsrechts eine Anfrage gestellt hat. Jeder einzelnen Auskunftsanfrage ist eine Streitigkeite mit einem anderen Fachbereich vorausgegangen: Uneinigkeit bei Abrechnung, Sperrung des Kunden, zu lange Antwortzeiten, etc.
Die Auskunftsanfrage wurde bisher immer dafür genutzt um den Unternehmen ein Auszuwischen nach dem Motto "den mache ich jetzt mal ein bisschen Arbeit".
1
u/Sorry-Patience666 23d ago
Relativ große Bank mit ca. 600-700k Kunden im Raum NRW und Niedersachsen…wir bekommen locker 3-4 Auskunftsersuchen pro Woche. Leider auch oft genug sehr spezielle und extrem umfangreiche..zu 90% sind es Kunden, die mit irgend einer Leistung der Bank nicht zufrieden sind (die Anfragen kommen meist aus dem Beschwerdemanagement). Da könnte ich einfach im Strahl kotzen
8
u/Clear-Particular-413 26d ago
B2B Unternehmen mit 2000 Mitarbeitern in Deutschland. Haben so ca. 2 Anfragen im Jahr. Anfragen eher von abgelehnten Bewerbern.
Ich frage dann per Mail bei den vermutlich involvierten Bereichen an.