DSAR gemäß DSGVO und CCPA – Die wichtigsten Unterschiede verstehen

Datenschutz ist heutzutage eines der wichtigsten Anliegen von Unternehmen. Aus diesem Grund wurden die Datenschutzgesetze in verschiedenen Teilen der Welt verschärft. Eine Studie zeigt, dass bis zum letzten Jahr nur 10 % der Weltbevölkerung über Datenschutz verfügten. Die Studie stellt außerdem fest, dass sich dies auf etwa 10 % der Weltbevölkerung auswirkt. 65 % der Daten der Bevölkerung Die Sicherheit wird bis Ende 2023 gewährleistet sein. Laut der Cisco Consumer Privacy Survey sind 84 % der Befragten besorgt um den Datenschutz in der digitalen Welt und wünschen sich mehr Kontrolle über die Verwendung ihrer Daten. Angesichts dieser wachsenden Besorgnis haben Gesetzgeber bestimmte Datenschutzbestimmungen erlassen, die Verbrauchern das Recht auf Auskunft über ihre Daten einräumen. Die europäische Datenschutz-Grundverordnung (DSGVO) gewährt beispielsweise das Auskunftsrecht betroffener Personen (DSAR). Ähnliche Datenschutzbestimmungen gibt es in anderen Ländern, wie etwa den California Consumer Privacy Act (CCPA), den kanadischen PIPEDA und das brasilianische LGPD. Im Folgenden werden die wichtigsten Unterschiede des DSAR-Rechts nach DSGVO und CCPA erläutert. 

Was ist DSAR?

Auskunftsersuchen (DSARs) sind nicht neu, da Unternehmen und Behörden sie schon seit vielen Jahren nutzen. Datenschutzbestimmungen haben jedoch einige Änderungen mit sich gebracht, die es Verbrauchern erleichtern, Auskunft über ihre Daten zu beantragen. Ein DSAR ist ein Antrag einer betroffenen Person an Ihr Unternehmen. Gemäß den gesetzlichen Bestimmungen sind Sie verpflichtet, alle Informationen so schnell wie möglich bereitzustellen.  

Artikel 15 der DSGVO Staaten,

„Die betroffene Person sollte das Recht haben, auf die sie betreffenden personenbezogenen Daten, die erhoben wurden, zuzugreifen und dieses Recht einfach und in angemessenen Abständen auszuüben sowie sich über die Rechtmäßigkeit der Verarbeitung zu informieren und diese zu überprüfen.“

Gemäß Titel 1.81.5 des CCPA, 

(a) Verbraucher haben jederzeit das Recht, ein Unternehmen, das personenbezogene Daten über sie an Dritte verkauft, anzuweisen, diese personenbezogenen Daten nicht weiterzuverkaufen. Dieses Recht wird auch als Widerspruchsrecht bezeichnet.

(b) Ein Unternehmen, das personenbezogene Daten von Verbrauchern an Dritte verkauft, muss die Verbraucher gemäß Unterabschnitt (a) von Abschnitt 1798.135 darüber informieren, dass diese Daten verkauft werden können und dass die Verbraucher das „Recht haben, dem Verkauf ihrer personenbezogenen Daten zu widersprechen“.

(c) Es ist Unternehmen untersagt, die von einem Verbraucher die Anweisung erhalten haben, die personenbezogenen Daten des Verbrauchers nicht zu verkaufen, oder die im Falle der personenbezogenen Daten eines minderjährigen Verbrauchers keine Einwilligung zum Verkauf der personenbezogenen Daten des minderjährigen Verbrauchers erhalten haben.

DSAR gemäß DSGVO und CCPA

Im Rahmen der DSGVO und des CCPA ergeben sich folgende Unterschiede und Gemeinsamkeiten hinsichtlich der DSAR:

DSAR – Die wichtigsten Überlegungen 

Bei DSAR gibt es einige gemeinsame Erwartungen. Einige davon sind:

• Ein Unternehmen wird auf die Anfrage reagieren oder Maßnahmen ergreifen. 
• Die Antwort wird alle Informationen enthalten. 
• Die Maßnahmen werden innerhalb eines festgelegten Zeitraums erfolgen.

Für Unternehmen gehört es zu den grundlegenden Anforderungen, zu dokumentieren, dass eine Anfrage beantwortet wurde. Unternehmen müssen das Eingangsdatum und das Antwortdatum festhalten. 

Unternehmen haben bestimmte Fristen, um auf Auskunftsersuchen (DSARs) zu antworten. Gemäß DSGVO müssen sie innerhalb von 30 Tagen antworten. Der CCPA sieht hingegen eine Frist von 45 Tagen für die Beantwortung vor. Weitere Fristen sind:

• 10 Werktage für die Bestätigung des Eingangs der Anfrage 
• 15 Werktage für die Beantwortung von Abmeldeanfragen 
• 90 Werktage Zeit, um Händler darüber zu informieren, dass sie keine Verbraucherinformationen verkaufen dürfen.
• Zwei Jahre für die Führung des Anfrageprotokolls. 

DSAR – Die wichtigsten Ausnahmen 

Für Organisationen gelten unter bestimmten Umständen Ausnahmen von der Auskunftserteilung nach dem DSAR-Gesetz. Eine häufige Ausnahme gemäß DSGVO ist der unverhältnismäßige Aufwand. Unternehmen können sich nicht auf DSAR-Ausnahmen berufen, um Anfragen nicht zu beantworten.

Der California Consumer Privacy Act (CCPA) erlaubt es Unternehmen, Löschungsanfragen zu bearbeiten. Beispielsweise darf ein Unternehmen einer Löschungsanfrage eines Verbrauchers vor Ablauf der Garantiezeit nachkommen. 

Einfacher ausgedrückt: Es gibt viele Ausnahmen von DSAR, die je nach Gerichtsbarkeit, Gesetzen des jeweiligen Bundesstaates und vielen anderen Faktoren variieren. 

DSAR-Checkliste für Organisationen

So können Unternehmen auf DSARs reagieren:

• Ein System, das alle Anfragen effizient empfangen und verarbeiten kann.
• Überprüfung der Identität von betroffenen Personen bei Eingang von Anfragen 
• Datenerfassung und Überprüfung der bearbeiteten Anfragen
• Sanierungspläne 
• Pläne zur Übermittlung der angeforderten Informationen 

Können Unternehmen die Beantwortung einer Auskunftsanfrage verweigern? Ja, unter bestimmten Umständen können Unternehmen eine solche Anfrage ablehnen. Hier sind einige der Gründe dafür:

• Ein durchsuchbares und zugängliches Format für personenbezogene Daten wird nicht gewährleistet.
• Die Einhaltung der Vorschriften ist der Zweck der Verarbeitung personenbezogener Daten. 
• Die Informationen werden nicht zu kommerziellen Zwecken verwendet. 
• Die Daten werden für die nationale Sicherheit oder die Strafverfolgung verwendet.
• Die betroffene Person hat mehrere Anträge auf Störung des Systems gestellt.

Wichtige Erkenntnisse

Datenschutz und Privatsphäre sind zentrale Anliegen von Strafverfolgungsbehörden und Organisationen. Verschiedene Regionen der Welt haben unterschiedliche Verordnungen erlassen, wie beispielsweise die DSGVO in der EU, den CCPA in Kalifornien und das LGPD in Brasilien. Das Auskunftsrecht betroffener Personen (DSAR) gibt Verbrauchern das Recht, auf ihre Daten zuzugreifen. Gemäß CCPA und DSGVO bietet das DSAR den Betroffenen Transparenz und Kontrolle. Obwohl es in bestimmten Fällen Ausnahmen vom DSAR gibt, haben Betroffene grundsätzlich das Recht, Auskunft, Löschung oder Sperrung ihrer personenbezogenen Daten zu verlangen. 

Haben Sie Fragen zum Datenschutz und zur Privatsphäre? Unsere Experten stehen Ihnen jederzeit gerne zur Verfügung.