Zur Dokumentation jeglicher Anfragen im Sinne der DSGVO durch betroffene Personen gibt es im JustRelate CRM den Prozess „Datenschutzanfrage“ eingeführt. Das Verwaltungsformular kann aus dem Hauptmenü Sales/Kontakte/... aufgerufen werden.
Anfrage und Auskunft über gespeicherte Daten
Datenschutzanfrage aus der E-Mail erzeugen
Anfrage als Vorgang verwalten
Gewöhnlich kommen Anfragen über die üblichen Kommunikationskanäle (E-Mail, Telefon, Fax, Brief) ins Haus und sollten zunächst als Aktivität erfasst werden.
Für E-Mails bietet bereits der E-Mail-Connector beim Synchronisieren aus der Groupware die Funktion Vorgang erzeugen/Datenschutzanfrage. Damit wird ein Datenschutzvorgang erzeugt und in der Datenschutzbeziehung an der Person (Absender der E-Mail) unter Zusatzdaten/Datenschutz/Vorgänge abgelegt.
Liegt die E-Mail bzw. die Aktivität bereits im System vor (Telefonat, Brief), ohne dass ein Datenschutzvorgang erzeugt wurde, öffnen Sie die Person (Absender, Gespräch mit ...) und erzeugen mit der DSGVO-Funktion Datenschutzanfrage (neu)… den Datenschutzvorgang vom Typ Datenschutzanfrage.
Datenschutzanfrage an der Person erzeugen
Identität prüfen
Vor der Beantwortung einer Datenschutzanfrage steht immer die zweifelsfreie Feststellung der Identität der anfragenden Person. Erst dann kann eindeutig entschieden werden, ob Daten im CRM-System gespeichert und verarbeitet wurden. Davon abhängig wird dann die entsprechende Antwort formuliert, die in den meisten Fällen ebenfalls als Aktivität im JustRelate CRM hinterlegt wird.
Achtung: Stellen Sie unbedingt die Identität der antragstellenden Person fest, damit die Auskunft auch nur an diese betroffene Person geht. Geben Sie nur Auskunft, wenn Sie sicher sind, dass die antragstellende Person und die gespeicherte Person identisch sind.
Zur Unterstützung der Anfrage ist es sinnvoll, entsprechende Antwortvorlagen im JustRelate CRM zu hinterlegen. Im JustRelate-CRM-Standard existiert bereits die Vorlage zum Anpassen „E-Mail: DSGVO-Auskunft gemäß Art. 15 (Deutsch, BIRT)“.
Auskunft erstellen
Macht eine Person Gebrauch von ihrem Recht auf Auskunft, so müssen nach eingehender Identitätsprüfung diese gespeicherten Daten der Person unverzüglich, spätestens aber innerhalb eines Monats mitgeteilt werden.
Auskunft auf Datenschutzanfrage
Der Bericht wird als Dokument an der Person abgelegt und kann als Anlage zur Beantwortung der Datenschutzanfrage beigefügt werden.
Achtung: Geben Sie nur einer zweifelsfrei identifizierten Antragsperson Auskunft zu personenbezogenen Daten. Wenn die Identität nicht zweifelsfrei feststeht, kann es zu einem Datenschutzvorfall kommen, weil die Daten in falsche Hände geraten sind.
Bericht am Formular der externen Person
Im JustRelate-CRM-Standard wird ein Bericht „Auskunft nach Artikel 15 DSGVO“ zur Verfügung gestellt, der alle gespeicherten Daten mit Personenbezug in einem PDF-Dokument zusammenstellt.
- persönliche Angaben wie Namen und Titel,
- alle Kommunikationsdaten wie Adressen, Telefonnummern und E-Mail-Adressen,
- wenn vorhanden, Bankdaten und Telefonprotokoll
- Zweck der Verarbeitung und der jeweils geltenden rechtlichen Grundlage,
- alle aktiven Verwendungszwecke mit gesetzter Web-Option, jeweils mit der entsprechenden Rechtsgrundlage,
- zu jedem Verwendungszweck das entsprechende Protokoll.
Hinweis: Als Daten mit Personenbezug sind auch mit der Person verknüpfte Aktivitäten, Dokumente, Servicemeldungen, Vorgänge und Verträge zu sehen. Hier sollte der Bearbeiter selbst entscheiden, ob diese mit ausgegeben werden oder nicht. Aktivitäten können mit oder ohne Inhalt ausgegeben werden.
Datenschutzrechtlich ist Letzteres gem. Art. 15 DSGVO nicht unbedingt gefordert und sollte nur auf konkreten Antrag des Betroffenen erwogen werden. Sie können die entsprechenden Angaben im Reportmanager abwählen. Bei Vorgängen und Verträgen werden lediglich die absoluten Kopfdaten, gruppiert nach Rolle, ausgegeben.
Bericht am internen Mitarbeiter
Die DSGVO gilt auch für interne Mitarbeiter und deren personenbezogene Daten in einem Unternehmen.
Am Formular Interne Mitarbeiter (Administration/Kontakte/Interne Mitarbeiter) wurde der Bericht „Auskunft nach Artikel 15 DSGVO“ bereitgestellt. Er gibt Auskunft über die gespeicherten Daten des internen Mitarbeiters.
Im Standard ist die Berichtsstruktur für interne Mitarbeiter ein Vorschlag und muss angepasst werden, falls Arbeitsverträge oder interne betriebliche Vereinbarungen dies erfordern.