GDPR-DSAR-Antwort für Versicherungsplattformen: Vollständiger Workflow

Data Subject Access Requests (DSAR) sind einer der häufigsten GDPR-Vollzugsmechanismen. Für Versicherungsplattformen, die mehrere Kategorien personenbezogener Daten über Policen, Schäden und Kommunikation verarbeiten, ist jeder DSAR eine nichttriviale Übung in Abruf, Prüfung und Präsentation.

Der Rechtsrahmen: Artikel 15 UK GDPR

Artikel 15 gibt Betroffenen das Recht, auf sie betreffende personenbezogene Daten zuzugreifen, die Verarbeitungszwecke, Datenkategorien, Empfänger und Aufbewahrungsdauer zu erfahren. Der Verantwortliche muss „ohne unangemessene Verzögerung“ und binnen eines Monats antworten, verlängerbar auf drei Monate für komplexe Anfragen.

Warum Schadendaten DSARs einzigartig komplex machen

Ein Schadendossier enthält typisch: Schadenfotos, medizinische Berichte, Telefontranskripte, Verhandlungs-E-Mails, Gutachterberichte, Regulierungsdokumente. Jedes ist ein separates Artefakt. Jedes kann Drittdaten enthalten (andere Personen, Zeugen, Gegner), die geschwärzt werden müssen.

Was in eine Versicherungs-DSAR-Antwort aufgenommen werden muss

• Alle personenbezogenen Daten, die den Anfragenden identifizieren
• Verarbeitungszwecke pro Kategorie
• Empfänger oder Kategorien von Empfängern
• Vorgesehene Aufbewahrungsdauer
• Datenquelle, wenn nicht direkt erhoben
• Existenz automatisierter Entscheidungsfindung und beteiligter Logik

Was ausgeschlossen werden kann

Drittdaten ohne Zustimmung, dem Berufsgeheimnis unterliegende Informationen, vom Legal Professional Privilege gedeckte Daten, Informationen deren Offenlegung eine Untersuchung (Betrug, Rechtsstreit) oder Rechte anderer gefährden würde.

Schwärzungsanforderungen und -risiken

Manuelle Schwärzung ist fehleranfällig — Drittnamen übersehen, medizinische Informationen Nicht-Anfragender offengelegt, Gutachter-Kontaktdaten exponiert. Automatisierung mit menschlicher Endprüfung ist die operative Norm.

Siehe UK-GDPR-Datenresidenz und die EU-Souveränitäts-Seite.

Fazit

DSARs sind ein operativer GDPR-Test. Für strukturierten Abruf und assistierte Schwärzung ausgelegte Plattformen bearbeiten DSARs als Routine-Workflow. Solche, die jede Antwort manuell rekonstruieren, kämpfen mit Fristen und exponieren regelmäßig Drittdaten.