Eine Betroffenenanfrage durchläuft im Unternehmen einen festen Ablauf: Sie erkennen die Anfrage, halten den Eingang fest und starten die Monatsfrist nach Art. 12 Abs. 3 DSGVO, prüfen bei Zweifeln die Identität, sammeln die Daten über alle Systeme, schwärzen die Angaben Dritter, stellen die Auskunft samt erster Kopie zusammen, antworten fristgerecht und dokumentieren jeden Schritt. Diesen Ablauf beschreibt der Beitrag als wiederholbaren Prozess. Den Gesamtüberblick gibt unser Leitfaden zu Betroffenenanfragen.
Als durchgehendes Beispiel dient eine E-Mail, die am 5. März über das allgemeine Info-Postfach eingeht. Eine Kundin bittet um Auskunft über die zu ihr gespeicherten Daten. An diesem Fall lässt sich jeder Schritt konkret nachvollziehen.
Woran erkennen Sie eine eingehende Nachricht als Betroffenenanfrage?
Am Inhalt der Nachricht. Eine Betroffenenanfrage ist jeder Antrag, mit dem eine Person ein Datenschutzrecht geltend macht. Sie kann per E-Mail, Brief, Formular, Telefon oder über soziale Medien eingehen und muss die DSGVO nicht erwähnen. Sobald jemand Auskunft, Löschung oder Berichtigung verlangt, läuft der Prozess an.
Nach den Leitlinien des Europäischen Datenschutzausschusses (EDPB-Leitlinien 01/2022 zum Auskunftsrecht) genügt der Zugang über einen offiziellen Kanal. Für die Praxis heißt das: Jeder Kanal, über den Anfragen eingehen können, braucht einen definierten Weg zur zuständigen Stelle. Im Beispiel landet die Mail zunächst im Info-Postfach. Bleibt sie dort liegen, weil niemand sie als Anfrage erkennt, läuft die Frist trotzdem. Der erste Schritt ist deshalb organisatorisch: Eingangskanäle benennen und ein Weiterleitungsrouting festlegen.
Wann beginnt die Frist, und wie sichern Sie den Starttermin?
Mit dem Zugang des Antrags über einen offiziellen Kanal. Ab diesem Tag läuft die Frist von einem Monat nach Art. 12 Abs. 3 DSGVO. Die tatsächliche Kenntnisnahme durch die zuständige Stelle spielt für den Fristbeginn keine Rolle. Halten Sie Eingangsdatum und Kanal deshalb sofort fest.
Der Wortlaut verlangt die Information über die ergriffenen Maßnahmen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“. Im Beispiel geht die Mail am 5. März ein, die Frist läuft damit bis einschließlich 5. April (EDPB-Leitlinien 01/2022, Beispiel 32). Das genaue Fristende bestimmen Sie mit dem DSGVO-Fristenrechner; die drei Rechenregeln erklärt der Beitrag Monatsfrist richtig berechnen. Legen Sie zusätzlich eine interne Wiedervorlage einige Tage vor Fristablauf an. Den Normtext finden Sie in Art. 12 DSGVO.
Wie prüfen Sie die Identität, ohne den Prozess auszubremsen?
Eine Identitätsprüfung ist nur bei begründeten Zweifeln zulässig (Art. 12 Abs. 6 DSGVO). Bei einer Anfrage aus einem bekannten Kundenkonto bestehen solche Zweifel meist nicht. Fordern Sie einen Nachweis nur an, wenn Sie ihn wirklich brauchen, und fragen Sie dann unverzüglich nach, damit der Prozess weiterläuft.
Der Maßstab ist Verhältnismäßigkeit. Ein pauschaler Ausweisnachweis bei jeder Anfrage überschreitet diese Grenze, wenn keine echten Zweifel bestehen. Fordern Sie zulässige Informationen an, kann die Frist nach Auffassung des EDPB gehemmt sein, bis Sie die Angaben erhalten haben, sofern Sie zügig nachgefragt haben (EDPB-Leitlinien 01/2022, Beispiel 31). Das ist eine Auslegung der Aufsichtsbehörden. Im Beispiel schreibt die Kundin von der Adresse, die auch im Kundenkonto hinterlegt ist. Begründete Zweifel bestehen nicht, also entfällt die Rückfrage und die Frist läuft ungehemmt weiter.
Wie stellen Sie die Daten über alle Systeme hinweg zusammen?
Sie durchsuchen jedes System, in dem personenbezogene Daten der Person liegen können: CRM, E-Mail-Postfächer, Ticketsystem, Buchhaltung, Fachanwendungen und Backups. Der BGH legt den Datenbegriff weit aus, deshalb gehören auch interne Vermerke und Korrespondenz mit Dritten dazu, soweit sie die Person betreffen.
Eine Information ist personenbezogen, wenn sie „aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist“ (BGH, Urteil vom 15.06.2021, VI ZR 576/19). Signifikante biografische Angaben sind dafür nicht erforderlich. Als Landkarte dient Ihr Verzeichnis von Verarbeitungstätigkeiten: Es zeigt, welche Systeme welche Datenarten führen. Im Beispiel finden sich Daten im CRM, im Support-Ticketsystem und in der Rechnungsstellung. Welche acht Pflichtinformationen die Auskunft am Ende enthalten muss, behandelt der Beitrag Auskunftsersuchen beantworten. Dieser Schritt ist der aufwändigste, weil er über Systemgrenzen hinweg vollständig sein muss.
Wie prüfen Sie vor der Freigabe die Rechte Dritter?
Das Recht auf Kopie darf die Rechte und Freiheiten anderer nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Bevor Sie Unterlagen herausgeben, prüfen Sie jede Seite auf personenbezogene Daten Dritter und schwärzen diese zuverlässig. An dieser Stelle entsteht der größte Handaufwand im gesamten Ablauf.
Der EuGH verlangt eine „originalgetreue und verständliche Reproduktion aller dieser Daten“ (EuGH, Urteil vom 04.05.2023, C-487/21, ECLI:EU:C:2023:369). Vollständigkeit für die betroffene Person und Schutz Dritter müssen also zusammenkommen. Im Beispiel enthält ein Support-Ticket den Namen eines anderen Kunden, der denselben Vorgang betraf. Dieser Name wird geschwärzt, bevor das Ticket Teil der Auskunft wird. Die Schranke steht im Wortlaut von Art. 15 DSGVO.
Wie geben Sie die Auskunft fristgerecht frei?
Sie stellen die Bestätigung der Verarbeitung, die Pflichtinformationen und die erste Kopie zusammen und versenden die Antwort vor Fristablauf. Die erste Kopie ist kostenlos (Art. 15 Abs. 3 DSGVO). Ein elektronisch gestellter Antrag wird nach Möglichkeit elektronisch beantwortet, in einem gängigen Format.
Der EuGH hat bestätigt, dass die erste Kopie auch dann kostenlos zusteht, wenn der Antrag einen datenschutzfremden Zweck verfolgt, und dass die Person ihren Antrag nicht begründen muss (EuGH, Urteil vom 26.10.2023, C-307/22, ECLI:EU:C:2023:811). Schaffen Sie die vollständige Bearbeitung ausnahmsweise nicht im ersten Monat, unterrichten Sie die Person innerhalb dieses Monats über die Verlängerung und deren Gründe. Genau diese Kette aus Fristüberwachung, Datensuche, Schwärzung und Freigabe bildet veronto requests als geführten Prozess ab, damit kein Schritt und keine Frist verloren geht. Im Beispiel geht die Antwort am 2. April raus, drei Tage vor Fristende.
Wie dokumentieren Sie die Bearbeitung nachvollziehbar?
Sie halten fest, wann die Anfrage einging, welche Systeme Sie durchsucht haben, welche Angaben Sie geschwärzt haben und wann Sie geantwortet haben. Diese Nachweise brauchen Sie, wenn eine Aufsichtsbehörde nachfragt oder wenn Sie einen Antrag ausnahmsweise ablehnen und den Grund belegen müssen.
Bei offenkundig unbegründeten oder exzessiven Anträgen trägt der Verantwortliche den Nachweis für diesen Charakter (Art. 12 Abs. 5 DSGVO). Werden Sie nicht tätig, müssen Sie die Person unverzüglich, spätestens innerhalb eines Monats, über die Gründe und über ihr Beschwerderecht bei der Aufsichtsbehörde unterrichten (Art. 12 Abs. 4 DSGVO). Eine saubere Dokumentation schließt den Prozess ab und macht ihn wiederholbar: Beim nächsten Eingang starten Sie mit einem geprüften Ablauf statt bei null.
Vom Einzelfall zum verlässlichen Prozess
Sieben Schritte, eine Reihenfolge: Erkennen, Frist starten, Identität klären, Daten sammeln, Dritte schützen, freigeben, dokumentieren. Wer diesen Ablauf einmal festlegt, bearbeitet jede weitere Anfrage schneller und mit geringerem Fehlerrisiko. Den rechtlichen Rahmen und die einzelnen Betroffenenrechte im Überblick behandelt unser Leitfaden zu Betroffenenanfragen.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.