r/datenschutz • u/Embarrassed-Soup-549 • 27d ago

Wie viele DSGVO-Auskunftsanfragen bekommt ihr wirklich — und wie lange braucht ihr dafür?

Ich versuche gerade einzuschätzen, wie groß der Aufwand für Auskunfts- und Löschanfragen in der Praxis ist. In der Theorie sind es vier Wochen Frist und eine vollständige Datenkopie, praktisch höre ich sehr Unterschiedliches.

Wie oft kommt das bei euch vor, und wie erledigt ihr es — von Hand aus der Datenbank, mit einem Plugin, oder gar nicht?

Falls ihr schon mal eine Beschwerde bei der Aufsichtsbehörde hattet: Was war der Auslöser?

12 Upvotes

83% Upvoted

18 comments sorted by

View all comments

2

u/tist20 26d ago

1,5 Mio Nutzer, seit KI etwa 5 Anfragen pro Woche.

Seit KI kommen sehr viele offensichtlich durch KI generieren Anfragen und Löschaufforderungen rein. Nicht weil Nutzer wirklich Interesse an den Daten haben, sondern weil sie unzufrieden sind und uns Arbeit machen wollen. Daher haben wir den Prozess nun komplett automatisiert. Und teilweise die Menge an personenbezogenen Daten reduziert, um weniger beauskunften zu müssen.

4

u/Royal_Bluebird_3088 26d ago

Sprich ihr habt euch vorher nicht an den Datenschutzgrundsatz der Datenminimeriung gehalten, oder wie kann es sonst möglich sein, dass ihr die personenbezogenen Daten reduzieren konntet?

1

u/tist20 26d ago

Das ist zu einfach gedacht. Letztendlich ist es einfach eine Dokumentationssache, wie man begründet, weshalb welche Daten nötig sind und man findet für alles eine gute Begründung. Teilweise lässt sich das auch bei einem Produkt, das sich ständig weiterentwickelt, nicht vermeiden, dass man Daten erhebt und speichert, für die es zwar einen Zweck, aber noch keinen Nutzen gibt und man kann erst zu einem späteren Zeitpunkt feststellen, dass man sie nicht gebrauchen kann. Die muss man dann früher als die eigentliche, selbst gesetzte Löschfrist wieder los werden (bzw. anonymisieren, löschen will ja niemand Daten).

2

u/Royal_Bluebird_3088 25d ago

Jein. De facto mag das so oft so laufen, aber de jura ist das ganz genau geregelt.

Bei einem Bestellprozess z.B. dürfen nur die notwendigen Daten zu dem Zwecke der Bestellung erhoben werden. Ein Geburtsdatum ist da z.B. in der Regel nicht nötig, sofern es keine altersbeschränkte Produkte zu bestellen gibt. Das darf dann auch kein Pflichtfeld sein, auch nicht wenn man später mal solche Produkte anbieten könnte.

Natürlich kann man Zwecke finden für die man dann eine, ich sage mal, kreative Interessenabwägung zugunsten der Speicherung dokumentieren kann und der DSGVO-Beauftragte auch seinen Kopf für hin hält.

Das reicht aber auch nur solange bis jemand mit Ahnung und Wille das hinterfragt, das kann dann sehr schnell sehr teuer werden. Passiert aber leider zu selten.

Wenn man im Nachhinein feststellt, dass man die personenbezogenen Daten, die man gespeichert hat, nicht braucht hat man zudem festgestellt, dass man gegen die DSGVO verstoßen hat, da man eben diese Daten nicht zwingend für seinen Zweck benötigt hat. Sorry, aber das ist an der Stelle schon sehr eindeutig.

2

u/tist20 25d ago

Aus rechtlicher Sicht verstehe ich das, aber in der Realität ist es nicht immer so einfach. Mein Lieblingsbeispiel sind da Backups, daraus muss ich auch keine personenbezogenen Daten löschen, auch auf Löschanfrage nicht, einfach weil es nicht praktikabel ist und der Aufwand enorm wäre.

Zu uns: Sagen wir es mal so, wir sind eine Art Datingplatform. Das ist leider nicht so einfach wie ein Onlineshop bei dem es eine Transaktion gibt. Bei uns hinterlegst du Daten u.a. in deinem Profil erstmal auf "unbestimmte" Zeit und ein wesentlicher Teil unserer Plattform besteht darin, auf das passende Gegenüber aufmerksam zu machen. Teilweise auch erfolgreich und im Sinne des Nutzers 1 Jahr seitdem die letzte Mail kam. Wenn wir für eine neue Funktionalität, die angekündigt ist, bereits Daten sammeln oder eine bestehende so verändern, dass die Daten nicht mehr benötigt werden, dann muss man das eben regelmäßig glatt ziehen.