Vorab: Betroffenenanfragen gehören zu den Themen, die im Makleralltag am häufigsten unterschätzt werden. Genau deshalb landen viele Neukunden bei uns. Weil bereits die Datenschutzbehörde auf der Matte steht. Die gute Nachricht: Mit klaren Prozessen lässt sich das vermeiden.

Was genau sind Betroffenenanfragen? 

Die Betroffenenrechte sind in Kapitel 3 der DSGVO geregelt. Interessenten, aktuelle und ehemalige Kundinnen und Kunden sowie aktuelle und ehemalige Mitarbeiterinnen und Mitarbeiter haben das Recht, bestimmte Auskünfte und Maßnahmen von euch zu verlangen. Dazu zählen unter anderem das Auskunftsrecht nach Artikel 15, aber auch weitergehende Rechte bis hin zur Beschwerde bei der Datenschutzbehörde oder am Ende sogar das Recht einer gerichtlichen Durchsetzung.

Warum ist das so sensibel? Datenschutz ist ein Grundrecht und in der Grundrechtecharta der EU verankert. Entsprechend streng sind die Vorgaben der DSGVO: Werden Anfragen nicht korrekt, fristgerecht oder vollständig bearbeitet, drohen Sanktionen wie Bußgelder oder rechtliche Konsequenzen. Mindestens ebenso gravierend ist jedoch der mögliche Reputationsschaden, denn ein unsensibler Umgang mit personenbezogenen Daten kann das Vertrauen in den Maklerbetrieb und damit die wirtschaftliche Grundlage gefährden.

Warum scheitert es in der Praxis trotzdem so oft? Betroffenenanfragen werden häufig nicht priorisiert: Sie werden unterschätzt, knapp abgehandelt oder gehen im Tagesgeschäft unter. Der Kern des Problems ist dabei selten böser Wille, sondern fehlendes oder unzureichendes Prozessmanagement.

Die Monatsfrist gilt absolut

Sprechen wir über das Thema „Fristen“. Grundsätzlich habt ihr einen Monat Zeit, um eine Anfrage vollständig zu bearbeiten und zu beantworten. Nur in besonders komplexen Fällen – etwa wenn Daten bei mehreren Maklerpools verarbeitet werden und dort nur mit Mühe zu bekommen sind – ist eine einmalige Verlängerung um bis zu zwei weitere Monate möglich. Wichtig dabei: Die Fristverlängerung muss innerhalb des ersten Monats begründet und mit dem Betroffenen kommuniziert werden.

Warum ist die Einhaltung der Frist so entscheidend? Im besten Fall reagieren Betroffene zunächst gar nicht oder haken lediglich nach. Bei transparenter Kommunikation und einer plausiblen Erklärung zeigen viele Verständnis. Häufiger machen Betroffene jedoch von ihrem Beschwerderecht nach Artikel 77 DSGVO Gebrauch und wenden sich an die zuständige Datenschutzbehörde. In diesem Fall erhaltet ihr eine formelle Aufforderung zur Stellungnahme.

Was bedeutet ein Fristversäumnis konkret für euch? Beim Erstverstoß bleibt es meist bei einer Ermahnung und einer kurzen Nachfrist von etwa zwei Wochen. Wiederholte Fristversäumnisse führen hingegen zu Bußgeldern, deren Höhe sich unter anderem an eurer bisherigen Vorgeschichte bei der Aufsichtsbehörde orientiert.

Wenn es eskaliert

Was passiert, wenn Betroffenenanfragen eskalieren? Ein Praxisbeispiel: Ein ehemaliger Mitarbeiter verlangte nach seinem Ausscheiden Auskunft von seinem ehemaligen Arbeitgeber. Das Unternehmen reagierte erst nach sechs Wochen und dann auch noch unvollständig. Es folgte außergerichtlicher Stress, dann die Datenschutzbehörde. Letztendlich landete der Fall vor Gericht.

Das Urteil: 2.500 Euro Bußgeld. Zusätzlich sprach das Gericht dem ausgeschiedenen Mitarbeiter 5.000 Euro immateriellen Schadenersatz zu. Dafür gibt es mittlerweile Präzedenzurteile von Landesarbeitsgerichten. Gesamtschaden: 7.500 Euro. Mit einem sauberen Prozess wäre das komplett vermeidbar gewesen.

Der Ablaufplan muss stehen

Die gute Nachricht: Mit einem klar definierten Ablauf lassen sich Betroffenenanfragen sicher und effizient handhaben.

Punkt 1: Erstellt vorab einen klaren Prozess. Denn die DSGVO macht keine Vorgaben dazu, auf welchem Weg Betroffenenanfragen eingehen dürfen. Sie landen im Info-Postfach, im Office, in der Buchhaltung oder direkt bei einzelnen Mitarbeitenden. Genau deshalb müssen alle sensibilisiert und geschult sein. Für jede eingehende Anfrage muss sofort feststehen:

• an wen sie weitergeleitet wird,
  
• wer die Verantwortung übernimmt und
  
• wie der Vorgang dokumentiert wird.

Punkt 2: Für häufige Anliegen wie Auskunft, Löschung, Datensperrung oder Widerruf lohnt es sich, Musterantworten vorzubereiten. Inhaltlich ähneln sich diese Fälle meist stark. Vorlagen sparen Zeit, sorgen für Einheitlichkeit und reduzieren Fehler, vorausgesetzt, sie werden anschließend sauber auf den jeweiligen Einzelfall angepasst.

Punkt 3: Auch das Maklerverwaltungsprogramm muss die Betroffenenrechte korrekt abbilden können. Wird etwa eine Löschung verlangt, bestehen aber gesetzliche Aufbewahrungspflichten, sind die Daten zu sperren. Der Zugriff ist dann auf Administratorinnen und Administratoren beschränkt. Operative Mitarbeitende können die Daten zwar noch sehen, aber nicht mehr verändern. Andernfalls droht ein erneuter DSGVO-Verstoß.

Das Verarbeitungsverzeichnis als Grundlage

Das Verzeichnis der Verarbeitungstätigkeiten ist das Fundament jeder sauberen Datenschutzorganisation. Es hält unter anderem fest,

• welche personenbezogenen Daten ihr verarbeitet,
• zu welchem Zweck dies geschieht,
• auf welcher Rechtsgrundlage dies geschieht und
• welche Aufbewahrungs- bzw. Löschfristen gelten.

In der Praxis bedeutet das: Die Vermittlung einer Kfz-Versicherung und einer Rentenversicherung werden als getrennte Verarbeitungstätigkeiten geführt. Der Grund liegt unter anderem in den unterschiedlichen Aufbewahrungsfristen: fünf Jahre im Kfz-Bereich, bis zu 30 Jahre bei Rentenprodukten.

Gerade bei Auskunftsersuchen erweist sich diese Struktur als großer Vorteil. Ihr erkennt auf einen Blick, wo Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht, wie lange sie gespeichert bleiben dürfen und wann sie gelöscht werden müssen. Aus der Gesamtheit aller Verarbeitungstätigkeiten, welche in dem sog. Verarbeitungsverzeichnis zusammengefasst sind, entwickelt sich schließlich euer Löschkonzept.

Dieses ist keine abstrakte Idee, sondern die unmittelbare technische Konsequenz des Verarbeitungsverzeichnisses. Nur wenn Aufbewahrungs- und Löschfristen klar definiert sind, lassen sich Betroffenenanfragen rechtssicher beantworten und in der Folge dann auch korrekt und rechtssicher umsetzen.

Fazit: Prävention statt Reaktion

Betroffenenanfragen sind kein Randthema. Sie sind Alltag und werden häufiger.

Wer heute in saubere Prozesse investiert, spart morgen Bußgelder, Schadenersatz und Reputationsverlust.

Die Werkzeuge sind vorhanden: Verarbeitungsverzeichnis, Musterantworten, technische Umsetzung und vor allen Dingen eine saubere Prozessbeschreibung. Entscheidend ist, sie konsequent einzusetzen. Und im Zweifel: Lieber einmal zu viel professionelle Hilfe holen als einmal zu wenig.

Zum vorherigen Beitrag dieser Reihe: Struktur statt Chaos

Titelbild: © NewFinance