Betroffenenrechte im SaaS: Auskunft, Löschung, Widerspruch richtig umsetzen

Einführung: Betroffenenrechte als zentrale DSGVO-Pflicht

Betroffenenrechte sind einer der Kernaspekte der DSGVO. Sie geben natürlichen Personen die Möglichkeit, Kontrolle über ihre personenbezogenen Daten auszuüben. Für SaaS-Anbieter und ihre Kunden bedeutet das: Betroffenenrechte müssen korrekt umgesetzt werden, sonst drohen Bußgelder und Schadensersatzansprüche.

Dieser Artikel erklärt die wichtigsten Betroffenenrechte im SaaS-Kontext: Welche Rechte existieren? Wer ist verantwortlich für die Erfüllung? Welche Rolle spielt der SaaS-Anbieter? Welche Fristen müssen eingehalten werden? Und welche Fehler werden häufig gemacht?

Dieser Artikel ist ein Supporting-Artikel zum PILLAR-Artikel "DSGVO im B2B-SaaS – Pflichten, Rollen und praktische Umsetzung" und ergänzt unseren Artikel zur Auftragsverarbeitung im SaaS.

Welche Betroffenenrechte existieren?

Die DSGVO definiert in Art. 12-22 verschiedene Betroffenenrechte. Die wichtigsten Rechte im SaaS-Kontext:

Art. 15 DSGVO: Auskunftsrecht

Betroffene Personen haben das Recht, Auskunft über ihre personenbezogenen Daten zu erhalten:

• Welche Daten werden verarbeitet? Art, Umfang, Kategorien der personenbezogenen Daten
• Zu welchem Zweck? Zweck der Verarbeitung
• Wer erhält die Daten? Empfänger oder Kategorien von Empfängern
• Wie lange werden die Daten gespeichert? Speicherdauer oder Kriterien für die Speicherdauer
• Welche Rechte bestehen? Recht auf Berichtigung, Löschung, Einschränkung, Widerspruch
• Woher stammen die Daten? Herkunft der Daten (falls nicht direkt von der betroffenen Person)
• Automatisierte Entscheidungen? Informationen über automatisierte Entscheidungen und Profiling

Format: Die Auskunft muss in einem strukturierten, gängigen und maschinenlesbaren Format erteilt werden (z.B. JSON, CSV, XML), wenn technisch möglich.

Art. 16 DSGVO: Recht auf Berichtigung

Betroffene Personen haben das Recht, unrichtige personenbezogene Daten berichtigen zu lassen:

• Unrichtige Daten: Daten, die nicht korrekt sind, müssen berichtigt werden
• Vervollständigung: Unvollständige Daten müssen vervollständigt werden
• Weitergabe: Berichtigungen müssen an alle Empfänger weitergegeben werden, denen die Daten mitgeteilt wurden

Art. 17 DSGVO: Recht auf Löschung ("Recht auf Vergessenwerden")

Betroffene Personen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn:

• Daten nicht mehr benötigt werden: Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig
• Einwilligung widerrufen: Die betroffene Person widerruft ihre Einwilligung
• Widerspruch: Die betroffene Person widerspricht der Verarbeitung (Art. 21 DSGVO)
• Unrechtmäßige Verarbeitung: Die Daten wurden unrechtmäßig verarbeitet
• Rechtliche Verpflichtung: Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich

Ausnahmen: Das Recht auf Löschung besteht nicht, wenn die Verarbeitung z.B. zur Ausübung des Rechts auf freie Meinungsäußerung, zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen erforderlich ist.

Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung

Betroffene Personen haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn:

• Richtigkeit bestritten: Die betroffene Person bestreitet die Richtigkeit der Daten
• Unrechtmäßige Verarbeitung: Die Verarbeitung ist unrechtmäßig, aber die betroffene Person lehnt die Löschung ab
• Daten nicht mehr benötigt: Die Daten werden nicht mehr benötigt, aber die betroffene Person benötigt sie zur Geltendmachung von Rechtsansprüchen
• Widerspruch: Die betroffene Person hat Widerspruch eingelegt (Art. 21 DSGVO)

Konsequenz: Bei Einschränkung dürfen die Daten nur noch mit Einwilligung der betroffenen Person oder zur Geltendmachung von Rechtsansprüchen verarbeitet werden.

Art. 20 DSGVO: Recht auf Datenübertragbarkeit

Betroffene Personen haben das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln, wenn:

• Einwilligung oder Vertrag: Die Verarbeitung beruht auf Einwilligung (Art. 6 Abs. 1 lit. a) oder Vertrag (Art. 6 Abs. 1 lit. b DSGVO)
• Automatisierte Verarbeitung: Die Verarbeitung erfolgt mittels automatisierter Verfahren

Format: Die Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden (z.B. JSON, CSV, XML).

Art. 21 DSGVO: Widerspruchsrecht

Betroffene Personen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, wenn:

• Berechtigtes Interesse: Die Verarbeitung beruht auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO)
• Direktwerbung: Die Verarbeitung erfolgt zu Zwecken der Direktwerbung
• Profiling: Die Verarbeitung erfolgt zu Zwecken des Profilings

Konsequenz: Bei Widerspruch muss die Verarbeitung eingestellt werden, es sei denn, es bestehen zwingende berechtigte Gründe für die Verarbeitung, die die Interessen der betroffenen Person überwiegen.

Wer ist verantwortlich?

Im SaaS-Kontext ist die Verantwortlichkeit für Betroffenenrechte klar geregelt:

Der Kunde als Verantwortlicher

Der Kunde, der das SaaS-System nutzt, ist Verantwortlicher und damit primär verantwortlich für die Erfüllung von Betroffenenrechten:

• Entgegennahme von Anfragen: Der Kunde muss Anfragen von betroffenen Personen entgegennehmen
• Prüfung der Identität: Der Kunde muss die Identität der betroffenen Person prüfen
• Erfüllung der Rechte: Der Kunde muss die Betroffenenrechte erfüllen (Auskunft erteilen, Daten löschen, etc.)
• Fristen einhalten: Der Kunde muss die gesetzlichen Fristen einhalten (ein Monat)
• Information: Der Kunde muss die betroffene Person über die Maßnahmen informieren

Wichtig: Die Verantwortung des Kunden endet nicht bei der technischen Umsetzung. Der Kunde trägt die rechtliche Verantwortung für die gesamte Erfüllung von Betroffenenrechten.

Der SaaS-Anbieter als Auftragsverarbeiter

Der SaaS-Anbieter (z.B. CrmLogical) ist Auftragsverarbeiter und muss den Kunden bei der Erfüllung von Betroffenenrechten unterstützen:

• Technische Unterstützung: Der Anbieter muss technische Funktionen bereitstellen, um Betroffenenrechte zu erfüllen (z.B. Datenexport, Datenlöschung)
• Datenbereitstellung: Der Anbieter muss dem Kunden die Daten bereitstellen, die für die Erfüllung von Betroffenenrechten erforderlich sind
• Löschung: Der Anbieter muss Daten auf Anweisung des Kunden löschen
• Berichtigung: Der Anbieter muss Daten auf Anweisung des Kunden berichtigen
• Einschränkung: Der Anbieter muss die Verarbeitung auf Anweisung des Kunden einschränken

Wichtig: Der Anbieter ist nicht verantwortlich für die rechtliche Prüfung von Betroffenenrechten (das ist Aufgabe des Kunden), sondern für die technische Unterstützung.

Zusammenarbeit zwischen Kunde und Anbieter

Die Erfüllung von Betroffenenrechten erfordert Zusammenarbeit zwischen Kunde und Anbieter:

• Anfrage beim Kunden: Die betroffene Person richtet ihre Anfrage an den Kunden
• Kunde prüft: Der Kunde prüft die Anfrage rechtlich (Identität, Rechtmäßigkeit, etc.)
• Kunde weist Anbieter an: Der Kunde weist den Anbieter an, die erforderlichen technischen Maßnahmen durchzuführen
• Anbieter führt aus: Der Anbieter führt die technischen Maßnahmen durch
• Kunde informiert: Der Kunde informiert die betroffene Person über die Maßnahmen

Praktisch: Der Auftragsverarbeitungsvertrag (AVV) sollte die Zusammenarbeit bei Betroffenenrechten regeln, einschließlich Fristen, Prozessen und Verantwortlichkeiten.

Rolle des SaaS-Anbieters

Der SaaS-Anbieter hat eine wichtige Rolle bei der Erfüllung von Betroffenenrechten, auch wenn er nicht rechtlich verantwortlich ist:

Technische Funktionen bereitstellen

Der Anbieter muss technische Funktionen bereitstellen, um Betroffenenrechte zu erfüllen:

• Datenexport: Funktionen zum Export von Daten in strukturierten Formaten (JSON, CSV, XML)
• Datenlöschung: Funktionen zur Löschung von Daten, einschließlich aller Kopien und Backups
• Datenberichtigung: Funktionen zur Berichtigung von Daten
• Einschränkung: Funktionen zur Einschränkung der Verarbeitung (z.B. Flag-Setting)
• Datenübertragung: Funktionen zur Übertragung von Daten an andere Systeme

Dokumentation und Nachweis

Der Anbieter muss dokumentieren, wie Betroffenenrechte erfüllt werden:

• Prozesse: Dokumentation der Prozesse zur Erfüllung von Betroffenenrechten
• Fristen: Dokumentation der Fristen für die Erfüllung
• Nachweis: Nachweis, dass Betroffenenrechte erfüllt wurden (z.B. Logs, Bestätigungen)

Schulungen und Support

Der Anbieter sollte Kunden bei der Erfüllung von Betroffenenrechten unterstützen:

• Dokumentation: Umfassende Dokumentation zur Nutzung der Funktionen
• Schulungen: Schulungen für Kunden zu Betroffenenrechten
• Support: Support bei technischen Problemen bei der Erfüllung von Betroffenenrechten

Fristen & Prozesse

Die Erfüllung von Betroffenenrechten unterliegt gesetzlichen Fristen und erfordert strukturierte Prozesse:

Fristen (Art. 12 Abs. 3 DSGVO)

Betroffenenrechte müssen unverzüglich, spätestens aber innerhalb eines Monats erfüllt werden:

• Standardfrist: Ein Monat ab Eingang der Anfrage
• Verlängerung: Bei komplexen Anfragen kann die Frist um weitere zwei Monate verlängert werden, wenn die betroffene Person innerhalb eines Monats informiert wird
• Keine Frist: Bei unbegründeten oder exzessiven Anfragen kann eine Gebühr verlangt oder die Bearbeitung verweigert werden

Wichtig: Die Frist beginnt ab Eingang der Anfrage, nicht ab Prüfung oder Bestätigung. Eine Bestätigung des Eingangs sollte innerhalb weniger Tage erfolgen.

Prozess: Auskunftsersuchen (Art. 15 DSGVO)

Der Prozess für Auskunftsersuchen:

1. Anfrage entgegennehmen: Anfrage der betroffenen Person entgegennehmen (E-Mail, Formular, Brief)
2. Identität prüfen: Identität der betroffenen Person prüfen (z.B. per Ausweiskopie, E-Mail-Verifizierung)
3. Daten sammeln: Alle relevanten Daten sammeln (aus CRM, anderen Systemen, Backups)
4. Daten aufbereiten: Daten in strukturiertem Format aufbereiten (JSON, CSV, XML)
5. Auskunft erteilen: Auskunft innerhalb eines Monats erteilen
6. Dokumentieren: Erfüllung dokumentieren (für Nachweis und Compliance)

Prozess: Löschungsersuchen (Art. 17 DSGVO)

Der Prozess für Löschungsersuchen:

1. Anfrage entgegennehmen: Löschungsersuchen entgegennehmen
2. Identität prüfen: Identität der betroffenen Person prüfen
3. Rechtmäßigkeit prüfen: Prüfen, ob ein Löschungsanspruch besteht (keine Ausnahmen)
4. Anbieter anweisen: SaaS-Anbieter anweisen, Daten zu löschen
5. Alle Kopien löschen: Daten aus allen Systemen, Backups und Archiven löschen
6. Empfänger informieren: Alle Empfänger informieren, denen die Daten mitgeteilt wurden
7. Betroffene informieren: Betroffene Person über die Löschung informieren
8. Dokumentieren: Löschung dokumentieren

Prozess: Widerspruch (Art. 21 DSGVO)

Der Prozess für Widerspruch:

1. Widerspruch entgegennehmen: Widerspruch entgegennehmen
2. Identität prüfen: Identität der betroffenen Person prüfen
3. Rechtmäßigkeit prüfen: Prüfen, ob ein Widerspruchsrecht besteht
4. Verarbeitung einstellen: Verarbeitung unverzüglich einstellen (außer bei zwingenden berechtigten Gründen)
5. Anbieter anweisen: SaaS-Anbieter anweisen, Verarbeitung einzustellen
6. Betroffene informieren: Betroffene Person über die Einstellung informieren
7. Dokumentieren: Widerspruch und Einstellung dokumentieren

Typische Fehler in der Praxis

Bei der Erfüllung von Betroffenenrechten werden häufig Fehler gemacht. Die wichtigsten Fehler:

Fehler 1: Fristen nicht eingehalten

Problem: Viele Unternehmen halten die Frist von einem Monat nicht ein.

• Rechtliche Konsequenz: Verstoß gegen Art. 12 Abs. 3 DSGVO, Bußgeldrisiko
• Lösung: Prozesse etablieren, Fristen überwachen, bei Verzögerungen informieren

Fehler 2: Identität nicht geprüft

Problem: Viele Unternehmen prüfen die Identität der betroffenen Person nicht oder unzureichend.

• Rechtliche Konsequenz: Risiko von Datenlecks, Verstoß gegen Art. 5 Abs. 1 lit. f DSGVO
• Lösung: Identität immer prüfen (z.B. per Ausweiskopie, E-Mail-Verifizierung, Sicherheitsfragen)

Fehler 3: Unvollständige Auskunft

Problem: Viele Unternehmen erteilen unvollständige Auskunft (z.B. nur aktive Daten, nicht Backups).

• Rechtliche Konsequenz: Verstoß gegen Art. 15 DSGVO, Bußgeldrisiko
• Lösung: Alle Daten sammeln (aktive Systeme, Backups, Archive, Logs)

Fehler 4: Falsches Format

Problem: Viele Unternehmen erteilen Auskunft nicht in strukturiertem, maschinenlesbarem Format.

• Rechtliche Konsequenz: Verstoß gegen Art. 15 Abs. 3 DSGVO, Bußgeldrisiko
• Lösung: Daten in strukturiertem Format exportieren (JSON, CSV, XML)

Fehler 5: Unvollständige Löschung

Problem: Viele Unternehmen löschen Daten nicht vollständig (z.B. nicht aus Backups).

• Rechtliche Konsequenz: Verstoß gegen Art. 17 DSGVO, Bußgeldrisiko
• Lösung: Daten aus allen Systemen, Backups und Archiven löschen

Fehler 6: Empfänger nicht informiert

Problem: Viele Unternehmen informieren Empfänger nicht über Berichtigungen oder Löschungen.

• Rechtliche Konsequenz: Verstoß gegen Art. 16 Abs. 2, Art. 17 Abs. 2 DSGVO, Bußgeldrisiko
• Lösung: Alle Empfänger informieren, denen die Daten mitgeteilt wurden

Fehler 7: Keine Dokumentation

Problem: Viele Unternehmen dokumentieren die Erfüllung von Betroffenenrechten nicht.

• Rechtliche Konsequenz: Erschwerte Nachweisführung bei Audits, Bußgeldrisiko
• Lösung: Alle Anfragen und Erfüllungen dokumentieren (wer, wann, was, wie)

Fehler 8: Keine Prozesse

Problem: Viele Unternehmen haben keine strukturierten Prozesse für Betroffenenrechte.

• Rechtliche Konsequenz: Fehlerhafte Erfüllung, Fristverstöße, Bußgeldrisiko
• Lösung: Strukturierte Prozesse etablieren, Verantwortlichkeiten definieren, regelmäßig prüfen

Fazit

Betroffenenrechte sind einer der Kernaspekte der DSGVO und müssen korrekt umgesetzt werden. Die wichtigsten Erkenntnisse:

• Verschiedene Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Kunde ist verantwortlich: Der Kunde als Verantwortlicher ist primär verantwortlich für die Erfüllung
• Anbieter unterstützt: Der SaaS-Anbieter als Auftragsverarbeiter muss technisch unterstützen
• Fristen einhalten: Ein Monat Standardfrist, bei komplexen Anfragen Verlängerung möglich
• Strukturierte Prozesse: Strukturierte Prozesse sind entscheidend für korrekte Erfüllung
• Häufige Fehler vermeiden: Fristen, Identität, Vollständigkeit, Format, Löschung, Dokumentation

Für B2B-SaaS-Anbieter bedeutet das: Betroffenenrechte müssen von Anfang an in die Architektur und Entwicklung integriert werden, mit umfassenden technischen Funktionen, klaren Prozessen und vollständiger Dokumentation. Nur so können die rechtlichen Anforderungen erfüllt und rechtliche Risiken minimiert werden.

Bei BeLogical setzen wir auf eine datenschutzorientierte Architektur für CrmLogical. Unser System bietet umfassende Funktionen zur Erfüllung von Betroffenenrechten, einschließlich Datenexport, Datenlöschung und Prozessunterstützung. Die Verantwortung für die rechtliche Prüfung liegt beim Kunden, aber wir unterstützen mit technischen Lösungen und Best-Practice-Empfehlungen.

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Bei spezifischen rechtlichen Fragen sollten Sie einen qualifizierten Datenschutzberater oder Rechtsanwalt konsultieren.