Was ein DSAR tatsächlich ist

Ein Auskunftsersuchen einer betroffenen Person (DSAR) ist der Moment, in dem ein Nutzer die Rechte ausübt, die ihm die DSGVO über seine personenbezogenen Daten gewährt. Für einen mobilen Publisher ist diese „betroffene Person“ einer Ihrer Spieler oder Nutzer, und das Ersuchen kann per E-Mail, Support-Ticket, App-Store-Bewertung oder In-App-Formular eintreffen. Der Auslöser ist einfach: Jemand möchte wissen, was Sie über ihn gespeichert haben — oder möchte, dass Sie etwas damit tun.

Entscheidend ist, dass ein DSAR weder die DSGVO erwähnen, das Wort „DSAR“ verwenden noch einer Vorlage folgen muss. Eine einzeilige Nachricht wie „Schicken Sie mir meine Daten“ oder „Löschen Sie mein Konto“ setzt die Frist genauso verbindlich in Gang wie ein förmliches Anwaltsschreiben. Nur förmlich aussehende Ersuchen als gültig zu behandeln, ist ein schneller Weg, eine Frist zu versäumen.

Die Rechte hinter dem Ersuchen

DSARs bündeln mehrere unterschiedliche Rechte, und dieselbe Nachricht kann mehr als eines geltend machen. Zu wissen, welches welches ist, bestimmt, was Sie tatsächlich tun müssen.

• Auskunft — der Nutzer kann eine Kopie seiner personenbezogenen Daten samt Kontext verlangen: was Sie erheben, warum, mit wem Sie sie teilen und wie lange Sie sie aufbewahren.
• Löschung („Recht auf Vergessenwerden“) — Löschung seiner Daten, einschließlich der an Werbe- und Analysepartner weitergegebenen Kopien, vorbehaltlich enger gesetzlicher Ausnahmen.
• Datenübertragbarkeit — die Daten, die er Ihnen gegeben hat, zurückgegeben in einem strukturierten, maschinenlesbaren Format wie JSON oder CSV, damit sie anderswohin übertragen werden können.
• Berichtigung — Korrektur unrichtiger oder unvollständiger Daten, zum Beispiel einer falschen E-Mail oder Region.

Verwandte Rechte — Widerspruch gegen die Verarbeitung und Einschränkung — treten oft zusammen mit diesen auf, besonders rund um die Werbepersonalisierung, wo ein Nutzer seine Einwilligung widerrufen kann, anstatt sein Konto vollständig zu löschen.

Die Fristen sind streng

Sie müssen ohne unangemessene Verzögerung und innerhalb eines Kalendermonats nach Eingang des Ersuchens antworten. Die Frist beginnt an dem Tag, an dem das Ersuchen eintrifft, nicht an dem Tag, an dem es jemand in Ihrem Team bemerkt. Sie können um zwei weitere Monate verlängern bei wirklich komplexen Ersuchen, aber nur, wenn Sie den Nutzer innerhalb dieses ersten Monats informieren und erklären, warum.

Antworten sind in der Regel kostenlos. Sie können ein angemessenes Entgelt verlangen oder nur ablehnen, wenn ein Ersuchen offenkundig unbegründet oder exzessiv ist, und die Beweislast dafür liegt bei Ihnen. Für die meisten Publisher ist die sichere Annahme: kostenlos und innerhalb von dreißig Tagen. Das Verpassen des Zeitfensters ist genau die Art von Versäumnis, auf die Aufsichtsbehörden bei der Bemessung von Bußgeldern hinweisen.

Einen skalierbaren Workflow aufbauen

Die Publisher, die DSARs gelassen handhaben, haben sie in einen wiederholbaren Prozess statt in eine Feuerübung verwandelt. Ein praktikabler Workflow sieht so aus:

• Eingang. Veröffentlichen Sie einen einzigen, beworbenen Kanal — ein In-App-Formular oder eine eigene privacy@-Adresse — und leiten Sie alles darüber, damit nichts in Support-Warteschlangen verloren geht.
• Identität prüfen. Bestätigen Sie, dass der Antragsteller das Konto besitzt, aber fragen Sie nur nach dem, was Sie brauchen. Einen Reisepass-Scan zu verlangen, um eine In-Game-ID nachzuschlagen, ist selbst ein Compliance-Problem.
• Protokollieren und mit Zeitstempel versehen. Erfassen Sie das Eingangsdatum sofort; das ist Ihr Fristanker.
• Die Daten lokalisieren. Führen Sie eine Datenkarte jedes Speichers — Ihr Backend, Crash-Logs, Analytics, Werbe-SDKs, CRM —, der Nutzerdaten berührt, geordnet nach einer stabilen Kennung.
• Erfüllen & antworten. Exportieren, löschen oder korrigieren Sie wie verlangt, geben Sie Löschungen an Auftragsverarbeiter weiter und antworten Sie in klarer Sprache.
• Den Vorgang abschließen. Archivieren Sie das Ersuchen und Ihre Antwort als Nachweis, dass Sie rechtzeitig gehandelt haben.

Häufige Fallstricke

Die meisten Fehler sind operativer, nicht rechtlicher Natur. Achten Sie auf diese:

• Vergessene Datenspeicher. Werbe- und Attributions-SDKs, Push-Anbieter und Crash-Reporter halten alle Nutzerdaten. Eine Löschung, die sie überspringt, ist unvollständig.
• Übermäßiges Erheben während der Verifizierung, was ein Datenschutzersuchen in ein Datenschutzrisiko verwandelt.
• Informelle Nachrichten als Nicht-Ersuchen behandeln und den Monat verstreichen lassen.
• Kein Nachweis der Einwilligung. Wenn ein Nutzer bestreitet, dass Sie je eine rechtmäßige Grundlage hatten, seine Daten für Werbung zu verarbeiten, müssen Sie zeigen können, wem er wann zugestimmt hat.

Wie eine CMP DSARs handhabbar macht

Hier zahlt sich Ihre Einwilligungsebene aus. Ein DSAR ist weitaus leichter zu beantworten, wenn Sie sofort zeigen können, was ein Nutzer eingewilligt hat, wann und unter welchem Rahmenwerk. FlexyConsent — eine Google-zertifizierte CMP, die IAB TCF 2.3 und Google Consent Mode v2 unterstützt — speichert für jeden Nutzer einen mit Zeitstempel versehenen Einwilligungsdatensatz und Audit-Trail. Wenn ein Auskunftsersuchen eintrifft, wird dieser Datensatz zu einem fertigen Teil Ihrer Antwort: die akzeptierten Zwecke, die beteiligten Anbieter und die Version des angezeigten Hinweises. Wenn ein Lösch- oder Widerspruchsersuchen eintrifft, beweist derselbe Datensatz, dass Sie personalisierte Werbesignale zum richtigen Zeitpunkt gestoppt haben. Diese Einwilligungshistorie mit Ihrer Datenkarte zu kombinieren, verwandelt einen DSAR von einem Gerangel in eine Nachschlageaufgabe.

Dieser Artikel ist eine allgemeine Information für Publisher und stellt keine Rechtsberatung dar; konsultieren Sie für Ihre konkrete Situation eine qualifizierte Fachkraft.

Wichtigste Erkenntnisse

• Jedes Ersuchen — wie informell auch immer — kann ein DSAR sein, und die einmonatige, meist kostenlose Frist beginnt an dem Tag, an dem es eintrifft.
• Erfassen Sie jeden Datenspeicher, einschließlich Werbe- und Analyse-SDKs, damit Auskunft und Löschung tatsächlich vollständig sind.
• Prüfen Sie die Identität verhältnismäßig und protokollieren Sie jedes Ersuchen, um zu beweisen, dass Sie rechtzeitig geantwortet haben.
• FlexyConsents Einwilligungsdatensätze und Audit-Trail liefern Ihnen sofortige, belastbare Nachweise, um Auskunfts-, Lösch- und Widerspruchsersuchen zu erfüllen.