Lange Zeit war eine Anfrage betroffener Personen (DSR) oder Auskunftsersuchen der betroffenen Person (DSARFrüher bedeutete das nur eines: Jemand wollte eine Kopie seiner persönlichen Daten, und man hat sie aus einer Datenbank abgerufen. Diese Anfrage gibt es immer noch. Sie ist nur nicht mehr diejenige, die einem schlaflose Nächte bereiten sollte.
Ich verbringe den Großteil meiner Woche in Datenschutzprogrammen von Unternehmen, und immer wieder zeigt sich dasselbe Muster: Das Volumen steigt, die Art der Anfragen hat sich verändert, und die Definition von “im Geltungsbereich” hat sich stillschweigend auf die unübersichtlichsten Bereiche des Unternehmens ausgedehnt. Wenn Ihr DSR-Prozess auf den alten Annahmen basiert, ist er bereits veraltet. Hier erfahren Sie, was sich geändert hat und warum es wichtig ist.
Wichtigste Erkenntnisse: Wie sich die Anfragen betroffener Personen verändert haben
• Anfragen betroffener Personen werden immer häufiger, komplexer und schwieriger manuell zu bearbeiten.
• Anträge auf Löschung, Berichtigung und Abmeldung verursachen mittlerweile einen höheren operativen Aufwand als einfache Zugriffsanfragen.
• Persönliche Daten erstrecken sich heute über Cloud-Dienste, SaaS-Plattformen, Kollaborationsplattformen, KI-Systeme und unstrukturierte Inhalte.
• Mitarbeiteranfragen bergen oft ein höheres rechtliches und operatives Risiko als Kundenanfragen.
• Datenschutzteams benötigen automatisierte Erkennungs- und Erfüllungsprozesse sowie nachvollziehbare Prüfprotokolle, um mit der Entwicklung Schritt halten zu können.
Immer mehr Verbraucher stellen Auskunftsersuchen gemäß DSGVO.
Beginnen wir mit der Nachfrageseite. Ciscos Verbraucherumfrage zum Thema Datenschutz 2024 Es wurde festgestellt, dass 361.030.000 Verbraucher ihre Rechte auf Auskunft über ihre personenbezogenen Daten ausgeübt haben, gegenüber 281.030.000 im Vorjahr. Dies ist kein Rundungsfehler. Es stellt eine strukturelle Veränderung in der Anzahl der Personen dar, die tatsächlich Ansprüche geltend machen.
Die Zielgruppe ist zudem tendenziell jünger, was die zukünftige Entwicklung verdeutlicht. In derselben Umfrage gaben 461.030 der 25- bis 34-Jährigen an, von ihren Rechten Gebrauch gemacht zu haben, verglichen mit nur 161.030 der über 65-Jährigen. Die Altersgruppe, die am besten mit ihren Datenschutzrechten vertraut ist, erreicht gerade ihr höchstes Einkommen und generiert gleichzeitig die meisten Daten. Dieser Trend wird sich voraussichtlich fortsetzen.
Löschanfragen werden zum neuen Standard
Früher war der Zugriff die Anfrage, um die man seine Planung herum organisierte. Jetzt ist er Löschung. Löschungs- und Nicht-Verkaufsanfragen haben den einfachen Zugriff abgelöst, und bei den meisten Programmen ist die Löschung mittlerweile die Anfrageart, die die Arbeitslast bestimmt.
Diese Veränderung ist wichtiger als die Schlagzeile. Eine Datenzugriffsanfrage ist primär ein Lesevorgang. Eine Löschung hingegen ist ein Schreibvorgang in jedem System, das mit der betreffenden Person in Berührung kommt, inklusive Nachweis und nachvollziehbarem Prüfprotokoll. Eine einzige Löschung kann sich auf Dutzende von Systemen auswirken. Wenn Ihre häufigste Anfrage gleichzeitig die betrieblich aufwändigste ist, stoßen manuelle Arbeitsabläufe schnell an ihre Grenzen. Bedenken Sie, dass die Zeit keine Rolle spielt: Die übliche einmonatige gesetzliche Frist lässt Ihnen nur etwa 20 bis 22 Arbeitstage, um alle relevanten Informationen zu finden und zu bearbeiten.
Und der Löschantrag selbst wird industrialisiert. Kaliforniens Delete Act schuf DROP, das Programm für Löschanträge. Löschanfrage- und Abmeldeplattform, Das System, das am 1. Januar 2026 für Verbraucher in Kraft trat, sieht vor, dass ein Einwohner Kaliforniens eine verifizierte Anfrage stellt, die sich sofort an über 500 registrierte Datenbroker ausbreitet. Ab dem 1. August 2026 müssen diese Broker Anfragen mindestens alle 45 Tage bearbeiten, die Löschung innerhalb von 90 Tagen abschließen, die Daten sperren, damit sie nicht wieder auftauchen, und die Anfrage an ihre eigenen Dienstleister und Auftragnehmer weiterleiten. Wird eine dieser Fristen versäumt, beträgt die Strafe $200 pro Anfrage und Tag. Zwei Aspekte machen diesen Fall jedoch zu einem weitaus größeren Problem als nur für Datenbroker. Der Umfang ist breiter als CCPA, und dabei auf alle mit dem Verbraucher verknüpften personenbezogenen Daten, einschließlich Rückschlüssen, zugreifen. Die Definition von “Datenbroker” ist so weit gefasst, dass nun auch viele Unternehmen, die sich nie als solche gesehen haben, in den Anwendungsbereich fallen. Zentralisierte, kaskadierende und fristgesteuerte Datenlöschung ist keine Theorie mehr, sondern Realität.
Anfragen betroffener Personen gehen nun über strukturierte Daten hinaus.
Das ist der Fehler, der ansonsten ausgereifte Programme zum Absturz bringt.
Die Anfänge der digitalen Datenverwaltung (DSR) basierten auf strukturierten Daten. Datensatz aus dem CRM abrufen, übermitteln, fertig. Diese Zeiten sind vorbei. Persönliche Daten sind heute über E-Mails, Slack, gemeinsame Laufwerke, SaaS-Anwendungen und generative KI-Tools verteilt. Eine Anfrage, die man früher mit einem einzigen System beantworten konnte, erfordert heute die Suche nach der entsprechenden Person im gesamten unstrukturierten Datenbestand.
Es geht auch nicht mehr nur um Text. Das Vereinigte Königreich Datenschutzgesetz Mehrere US-Bundesstaaten behandeln Video-, Audio- und Bildschirmaufnahmen mittlerweile als personenbezogene Daten, die gefunden, geschwärzt und offengelegt werden müssen. Künstliche Intelligenz verschärft die Situation zusätzlich. Ein Urteil des Europäischen Gerichtshofs aus dem Jahr 2025 besagt, dass man Betroffenen, deren Entscheidungen von automatisierten Prozessen betroffen sind, eine nachvollziehbare Erklärung der zugrundeliegenden Logik schuldet und nicht nur einen Verweis auf den Algorithmus. Ihre Profiling- und Bewertungsmodelle sind nun interaktives Material.
Wenn Sie eine einfache Frage nicht beantworten können, haben Sie ein Problem mit dem Umfang der Anfragen: Wissen Sie bei einer eingehenden Löschanfrage tatsächlich, wo sich die betreffende Person aufhält, einschließlich der Dateifreigaben und KI-Systeme? Die meisten Organisationen können das nicht, und genau an dieser Stelle verzögern sich Anfragen und es fallen Bußgelder an.
Anfragen von Mitarbeitern nach dem Datenschutz bergen ein höheres rechtliches Risiko
Hier liegt der Aspekt, der oft übersehen wird, wenn man sich auf die Konsumenten konzentriert. Die risikoreichsten DSRs (Days Sales Requests) stammen häufig nicht von Ihren Kunden, sondern von Ihren Mitarbeitern.
Eine Umfrage von EY Law unter Datenschutzverantwortlichen ergab, dass Kunden zwar die größte Einzelquelle für Auskunftsersuchen (DSARs) darstellen, fast ein Drittel jedoch von Mitarbeitern stammt. Auslöser dieser Anfragen sind Personalangelegenheiten wie Kündigungen, Klagen wegen ungerechtfertigter Entlassung und Umstrukturierungen. Die Intention dahinter ist eine andere. Das Auskunftsersuchen hat sich zu einem Instrument vor Gerichtsverfahren entwickelt. Stellt ein Mitarbeiter in einem Streitfall ein umfassendes Auskunftsersuchen, müssen Sie innerhalb eines Monats die Postfächer aller Manager durchsuchen, während Ihnen die Rechtsabteilung für Arbeitsrecht über die Schulter schaut. Die Offenlegung im Falle eines Rechtsstreits entbindet Sie nicht von dieser Pflicht, und die Begründung “Diese Anfrage ist aufwändig” ist kein Ablehnungsgrund.
Dieselbe Umfrage lieferte konkrete Zahlen zum Problem: 601.000 Organisationen berichteten von einem Anstieg der Auskunftsersuchen im Vergleich zum Vorjahr, 331.000 erhielten Massenanfragen und 511.000 bearbeiteten Beschwerden über die Bearbeitung von Anfragen. Letzteres ist besonders relevant, da Beschwerden die Kontaktaufnahme mit der Aufsichtsbehörde ermöglichen. Allein das britische Information Commissioner's Office verzeichnete in einem einzigen Jahr über 15.000 Beschwerden im Zusammenhang mit dem Auskunftsrecht.
Auch der Betrachtungszeitraum vergrößerte sich. Unter CPRA, Mitarbeiter können alle gespeicherten personenbezogenen Daten ab dem 1. Januar 2022 anfordern, nicht nur die der letzten zwölf Monate. Es geht um die Beschaffung einer umfassenderen Datenhistorie, die über fragmentierte HR-Systeme verstreut ist, und das unter Zeitdruck. Das ist ein Problem der Datenermittlung, nicht der Formularausfüllung.
Ein wichtiger Punkt, der der Ehrlichkeit halber erwähnt werden sollte: Das britische Datenschutzgesetz (Data Use and Access Act) schreibt vor, dass Arbeitgeber lediglich eine “angemessene und verhältnismäßige” Suche durchführen müssen. Das ist eine gewisse Erleichterung. Es hilft jedoch nicht, wenn man nicht einmal weiß, wo sich die Daten befinden.
Was moderne Programme zur Bearbeitung von Anfragen betroffener Personen erfordern
Entfernt man die einzelnen Trends, deuten sie alle auf dieselbe Ursache hin. Die Schwierigkeit bei einer digitalen Sicherheitsüberprüfung (DSR) besteht nicht mehr darin, ob wir reagieren müssen, sondern darin, ob wir alles und überall schnell genug finden und darauf reagieren können, um rechtlich abgesichert zu sein. Das ist in erster Linie ein Datenproblem und erst dann ein Problem des Datenschutzes.
Hier muss die Arbeit beginnen, und hier ist BigID für den Betrieb konzipiert:
Identitätsbewusste Erkennung und Klassifizierung
Finden Sie die Daten einer Person in strukturierten, unstrukturierten und semistrukturierten Systemen, On-Premise-, Cloud- und SaaS-Umgebungen sowie KI-Daten. Was man nicht sehen kann, kann man nicht erfüllen.
Erfahren Sie mehr über Discovery und Classification.
Automatisierte Rechteerfüllung
Zugriffs-, Lösch- und Abmeldeanfragen werden entgegengenommen, geprüft und ausgeführt, wobei ein vollständiger Prüfpfad protokolliert wird, sodass die 800. Löschung die gleichen Kosten verursacht wie die erste.
Erfahren Sie mehr über die Automatisierung von Datenrechten.
Zentralisierte Einwilligungs- und Widerspruchsbearbeitung
Signale wie GPC sollten kanalübergreifend erfasst und durchgesetzt werden, anstatt erst bei einer Reglerüberprüfung festzustellen, dass man sie ignoriert hat.
Erfahren Sie mehr über Einwilligung und Präferenzen.
Datenschutzportale, die tatsächlich funktionieren
Ein Anforderungsmechanismus, der die Auswahl an jedem Berührungspunkt anwendet, nicht ein Button, der ins Leere führt.
Erfahren Sie mehr über Datenschutzportale.
Das Fazit
Die DSR wurde nicht optional. Sie wurde operativ schwieriger. Löschintensive Prozesse, die sich über Plattformen wie DROP ausbreiteten, und ein sich ausdehnender Umfang in unstrukturierte Bereiche. KI-Systeme, und werden zunehmend von Mitarbeitern in Streitigkeiten als Waffe eingesetzt. Programme, die auf manueller Arbeit und Annahmen über strukturierte Daten basieren, häufen still und leise Risiken an, die sie nicht erkennen können.
Die Teams, die die anstehenden Aufgaben bewältigen, werden nicht diejenigen sein, die am härtesten arbeiten. Es werden diejenigen sein, die das der Anfrage zugrunde liegende Datenproblem gelöst haben.
Häufig gestellte Fragen zu modernen DSR-Lösungen
Was ist eine Anfrage einer betroffenen Person (Data Subject Request, DSR)?
Eine Anfrage einer betroffenen Person (Data Subject Request, DSR) ist eine Anfrage einer Person zur Ausübung ihrer Datenschutzrechte, einschließlich des Rechts auf Auskunft, Löschung, Berichtigung oder Widerspruch gegen die Nutzung oder den Verkauf ihrer personenbezogenen Daten.
Warum werden Anfragen von betroffenen Personen immer schwieriger?
DSRs erstrecken sich mittlerweile über strukturierte Datenbanken hinaus auf E-Mails, Kollaborationsplattformen, Cloud-Speicher, KI-Systeme, Audio, Video und andere unstrukturierte Datenquellen, was ihre Lokalisierung und Erfüllung erheblich erschwert.
Warum sind Löschanfragen komplexer als Zugriffsanfragen?
Löschanträge erfordern von Organisationen, personenbezogene Daten in verschiedenen Systemen aufzuspüren, sie gegebenenfalls zu entfernen, einen Prüfpfad zu führen und häufig nachgelagerte Dienstleister zu benachrichtigen, was sie operativ weitaus komplexer macht als die einfache Gewährung von Zugriff.
Wie verändert KI die Bearbeitung von Anfragen betroffener Personen?
KI-Systeme können personenbezogene Daten in Form von Eingabeaufforderungen, Ausgaben, Modellen und Arbeitsabläufen speichern, verarbeiten und generieren. Unternehmen müssen zunehmend feststellen, ob KI-bezogene Daten in den Anwendungsbereich einer Datensicherheitsüberprüfung (DSR) fallen.
Wie automatisiert BigID Anfragen von betroffenen Personen?
BigID erkennt personenbezogene Daten in strukturierten und unstrukturierten Umgebungen, automatisiert Workflows zur Erfüllung von DSR-Anfragen, setzt Lösch- und Widerspruchsanfragen durch und bietet einen vollständigen Prüfpfad zur Einhaltung gesetzlicher Bestimmungen.
Automatisierung von Anfragen betroffener Personen im Unternehmensmaßstab
Moderne DSRs erfordern mehr als manuelle Arbeitsabläufe. Zugriffs-, Lösch-, Korrektur- und Opt-out-Anfragen müssen über eine einzige Plattform hinweg ermittelt, lokalisiert, bearbeitet und dokumentiert werden – und zwar für strukturierte Daten, unstrukturierte Inhalte, Cloud-, SaaS- und KI-Umgebungen.
