Betroffenenanfragen-Manager: Auskunftsersuchen nach Art. 15 DSGVO fristgerecht bearbeiten

Eine Kundin verlangt Auskunft über alle Daten, die Sie zu ihr gespeichert haben. Ein ehemaliger Mitarbeiter fordert die Löschung seiner Personalakte. Ein Anwalt schreibt für seinen Mandanten und beruft sich auf Art. 15 DSGVO. In allen drei Fällen läuft ab dem Eingang eine Frist von einem Monat, und in allen drei Fällen entscheidet die Dokumentation darüber, ob Sie später nachweisen können, dass Sie richtig gehandelt haben.

Der Betroffenenanfragen-Manager erfasst jede Anfrage, berechnet die Frist nach Art. 12 Abs. 3 DSGVO, führt durch die Identitätsprüfung nach Art. 12 Abs. 6 DSGVO und erzeugt einen Antwortentwurf, den Sie anpassen und zur Akte nehmen können. Das Werkzeug ist kostenlos, verlangt keine Anmeldung und arbeitet ausschließlich in Ihrem Browser. Es findet keine Übertragung von Daten an die Kanzlei oder an Dritte statt.

Was ist eine Betroffenenanfrage?

Eine Betroffenenanfrage ist jede Äußerung, mit der eine Person eines ihrer Rechte aus Kapitel III der DSGVO geltend macht. Eine bestimmte Form ist nicht vorgeschrieben. Die Anfrage kann per E-Mail kommen, über das Kontaktformular, telefonisch, in einer Nachricht auf einer Social-Media-Seite oder mündlich am Tresen. Sie muss weder die DSGVO noch einen Artikel nennen. Der Satz “Ich möchte wissen, was Sie über mich gespeichert haben” genügt.

Entscheidend ist der erkennbare Wille der betroffenen Person, nicht die juristische Verpackung. Daraus folgt ein praktisches Problem für kleine und mittlere Unternehmen: Die Anfrage geht häufig nicht bei der Geschäftsführung ein, sondern bei einer Mitarbeiterin im Vertrieb, im Sekretariat oder im Service. Die Frist beginnt gleichwohl mit diesem Eingang und nicht erst, wenn die Anfrage intern beim Richtigen angekommen ist.

Diese Rechte können betroffene Personen geltend machen

• Auskunft, Art. 15 DSGVO. Die Person erfährt, ob und welche Daten verarbeitet werden, zu welchen Zwecken, an welche Empfänger sie gehen, wie lange gespeichert wird, woher die Daten stammen und ob eine automatisierte Entscheidungsfindung stattfindet. Hinzu kommt der Anspruch auf eine Kopie der Daten nach Art. 15 Abs. 3 DSGVO.
• Berichtigung, Art. 16 DSGVO. Unrichtige Daten sind zu korrigieren, unvollständige zu ergänzen.
• Löschung, Art. 17 DSGVO. Die Daten sind zu löschen, wenn einer der Löschgründe vorliegt und keine Ausnahme greift.
• Einschränkung der Verarbeitung, Art. 18 DSGVO. Die Daten werden gesperrt, etwa während die Richtigkeit geprüft wird.
• Datenübertragbarkeit, Art. 20 DSGVO. Erfasst sind Daten, die die Person selbst bereitgestellt hat und die auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden.
• Widerspruch, Art. 21 DSGVO. Gegen Direktwerbung wirkt der Widerspruch ohne Abwägung. Im Übrigen ist zu prüfen, ob zwingende schutzwürdige Gründe für die Verarbeitung überwiegen.

In der Praxis kommen diese Rechte selten einzeln. Ein Schreiben enthält oft Auskunft und Löschung zugleich, häufig verbunden mit einem Widerspruch gegen Werbung. Der Betroffenenanfragen-Manager lässt deshalb eine Mehrfachauswahl zu und leitet daraus die passenden Arbeitsschritte ab.

Welche Frist gilt und wie sie berechnet wird

Art. 12 Abs. 3 DSGVO verlangt eine Antwort unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Unverzüglich heißt ohne schuldhaftes Zögern. Der Monat ist die äußerste Grenze, nicht der Normalfall. Wer eine einfache Anfrage vier Wochen liegen lässt, erfüllt den Wortlaut, aber nicht den Zweck der Vorschrift.

Die Berechnung richtet sich nicht nach dem BGB, sondern nach der Verordnung (EWG, Euratom) Nr. 1182/71. Die Frist beginnt mit Ablauf des Eingangstages und endet mit Ablauf des Tages im Folgemonat, der dieselbe Zahl trägt wie der Eingangstag. Fehlt dieser Tag im Folgemonat, endet die Frist mit dessen letztem Tag.

• Eingang am 2. März, Fristende am 2. April, 24 Uhr.
• Eingang am 30. Januar, Fristende am 28. Februar, 24 Uhr, weil der Februar keinen 30. hat.
• Eingang am 31. August, Fristende am 30. September, 24 Uhr.

Fällt das Fristende auf einen Samstag, Sonntag oder gesetzlichen Feiertag, verschiebt es sich nach Art. 3 Abs. 4 der Verordnung auf den nächsten Werktag. Das Werkzeug weist dieses Datum aus, rechnet aber bewusst mit dem früheren Termin, weil die gesetzlichen Feiertage je nach Bundesland abweichen und ein zu früh gesetzter Termin nie schadet.

Verlängerung um zwei Monate

Ist ein Antrag komplex oder gehen zahlreiche Anträge ein, kann die Frist nach Art. 12 Abs. 3 Satz 2 DSGVO um zwei weitere Monate verlängert werden. Diese Verlängerung tritt nicht von selbst ein. Sie setzt voraus, dass Sie die betroffene Person innerhalb des ersten Monats über die Verlängerung und über deren Gründe unterrichten. Wer die Unterrichtung vergisst und erst im dritten Monat antwortet, hat die Frist versäumt, auch wenn der Antrag tatsächlich komplex war.

Identität prüfen, ohne zu viel zu verlangen

Die Auskunft darf nur an die betroffene Person selbst gehen. Wird sie an einen Unbefugten erteilt, liegt darin eine eigene Datenschutzverletzung, die ihrerseits meldepflichtig sein kann. Art. 12 Abs. 6 DSGVO erlaubt deshalb, zusätzliche Informationen zur Identifizierung anzufordern, allerdings nur bei begründeten Zweifeln.

Eine pauschale Anforderung der Ausweiskopie ist der häufigste Fehler in der Praxis. Wer sich aus dem eigenen Kundenkonto meldet oder von der bei Ihnen hinterlegten E-Mail-Adresse schreibt und die Kundennummer nennt, ist hinreichend identifiziert. Zusätzliche Daten anzufordern, wäre in diesem Fall selbst ein Verstoß gegen den Grundsatz der Datenminimierung. Umgekehrt ist bei sensiblen Datenbeständen, etwa Gesundheits-, Beschäftigten- oder Bonitätsdaten, besondere Sorgfalt geboten.

Ob die Monatsfrist während der Klärung der Identität weiterläuft, ist nicht abschließend geklärt. Es gibt Stimmen aus dem Kreis der Aufsichtsbehörden, die ein Ruhen der Frist für möglich halten, solange die betroffene Person auf eine berechtigte Rückfrage nicht reagiert. Verlassen Sie sich darauf nicht. Fragen Sie unverzüglich nach, dokumentieren Sie Datum und Inhalt der Rückfrage und behandeln Sie den Vorgang weiter als fristgebunden.

Wann eine Anfrage abgelehnt oder eingeschränkt werden darf

Die Auskunft ist grundsätzlich unentgeltlich zu erteilen. Der Europäische Gerichtshof hat dies für die erste Kopie ausdrücklich bestätigt und zugleich entschieden, dass es auf die Motive der betroffenen Person nicht ankommt (EuGH, Urteil vom 26. Oktober 2023, C-307/22). Dass jemand die Auskunft erkennbar zur Vorbereitung eines Prozesses oder einer Kündigungsschutzklage nutzen will, ist also kein Ablehnungsgrund.

Zum Umfang der Kopie hat der Gerichtshof entschieden, dass es nicht genügt, die Daten in zusammengefasster Form wiederzugeben, wenn nur die Vorlage von Dokumenten oder Auszügen das Verständnis der Verarbeitung ermöglicht (EuGH, Urteil vom 4. Mai 2023, C-487/21).

In Betracht kommen daher nur eng begrenzte Einschränkungen:

• Rechte anderer Personen, Art. 15 Abs. 4 DSGVO. Enthält ein Dokument auch Daten Dritter, ist regelmäßig zu schwärzen, nicht insgesamt zu verweigern.
• Offenkundig unbegründete oder exzessive Anträge, Art. 12 Abs. 5 DSGVO. Hier kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Die Schwelle ist hoch, und den Nachweis müssen Sie führen.
• Gesetzliche Ausnahmen, Paragraf 29 und Paragraf 34 BDSG. Etwa bei Berufsgeheimnissen oder wenn die Auskunft Geschäftsgeheimnisse offenbaren würde. Diese Vorschriften sind eng auszulegen.
• Aufbewahrungspflichten, Art. 17 Abs. 3 DSGVO und Paragraf 35 BDSG. Bei einem Löschverlangen tritt an die Stelle der Löschung dann die Einschränkung der Verarbeitung.

Lehnen Sie ganz oder teilweise ab, müssen Sie die betroffene Person innerhalb der Monatsfrist unterrichten und auf die Beschwerdemöglichkeit bei der Aufsichtsbehörde sowie auf den gerichtlichen Rechtsbehelf hinweisen, Art. 12 Abs. 4 DSGVO.

Was passiert, wenn die Frist verstreicht

Die verspätete oder unvollständige Auskunft ist in der Praxis einer der häufigsten Anlässe für Beschwerden bei den Aufsichtsbehörden. Beschwerden binden Ressourcen, führen zu Auskunftsverlangen der Behörde und enden nicht selten in einer Anordnung. Hinzu kommt der immaterielle Schadensersatz nach Art. 82 DSGVO, den betroffene Personen zunehmend geltend machen. Die Beträge sind im Einzelfall überschaubar, die Summe aus Anwalts- und Gerichtskosten ist es meist nicht.

Der praktische Wert einer sauberen Fristenkontrolle liegt deshalb weniger im Bußgeldrisiko als in der Vermeidung vermeidbarer Verfahren. Ein Vorgang, dessen Eingang, Fristende und Bearbeitungsschritte dokumentiert sind, ist der beste Nachweis nach Art. 5 Abs. 2 DSGVO.

Typische Fälle aus der Praxis

• Der ehemalige Mitarbeiter. Nach der Kündigung verlangt er Auskunft über sämtliche Daten einschließlich E-Mails, in denen sein Name vorkommt. Zu prüfen sind der Umfang der Kopie, die Rechte der übrigen Beschäftigten und die Frage, welche Systeme überhaupt zu durchsuchen sind.
• Der Auskunftsdienstleister. Ein gewerblicher Anbieter stellt im Namen vieler Personen automatisiert Anträge. Hier stehen die Vollmacht und die Identität der vertretenen Person im Vordergrund.
• Der Newsletter-Empfänger. Eine Person widerspricht der Werbung und verlangt zugleich Löschung. Die Werbung ist sofort einzustellen, für die Sperrliste nach Art. 21 Abs. 3 DSGVO bleibt die Speicherung der Kontaktdaten aber erforderlich.
• Die Anfrage über Instagram. Eine formfreie Nachricht im Messenger löst dieselbe Frist aus wie ein Einschreiben. Die Antwort sollte gleichwohl nicht über den Messenger erfolgen, wenn die Vertraulichkeit dort nicht gewährleistet ist.

Häufige Fragen zu Betroffenenanfragen

Muss eine Betroffenenanfrage schriftlich gestellt werden?

Nein. Die DSGVO sieht keine Form vor. Eine mündliche oder telefonische Anfrage genügt. Sie dürfen aus Gründen der Dokumentation um eine schriftliche Bestätigung bitten, die Frist beginnt aber bereits mit der ersten Äußerung.

Wann genau beginnt die Monatsfrist?

Mit dem Eingang der Anfrage bei Ihrem Unternehmen, nicht mit der internen Weiterleitung an die zuständige Stelle und nicht mit der Kenntnisnahme durch die Geschäftsführung.

Darf ich eine Ausweiskopie verlangen?

Nur bei begründeten Zweifeln an der Identität und nur, soweit kein milderes Mittel genügt. Häufig reichen die Abfrage der hinterlegten Kundennummer oder eine Bestätigung über die bekannte E-Mail-Adresse. Wird eine Ausweiskopie übersandt, sollten die nicht benötigten Angaben geschwärzt sein.

Was kostet die Auskunft die anfragende Person?

Nichts. Die erste Kopie ist unentgeltlich. Für weitere Kopien darf ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangt werden, Art. 15 Abs. 3 Satz 2 DSGVO.

Muss ich auch E-Mails herausgeben?

Soweit sie personenbezogene Daten der anfragenden Person enthalten, gehören sie grundsätzlich zum Auskunftsgegenstand. Ob die Vorlage vollständiger Dokumente erforderlich ist, hängt davon ab, ob die betroffene Person den Verarbeitungskontext sonst nicht verstehen kann. Die Rechte anderer Beteiligter sind durch Schwärzung zu wahren.

Was gilt, wenn ein Rechtsanwalt für die betroffene Person anfragt?

Dann benötigen Sie den Nachweis der Bevollmächtigung. Bei Rechtsanwältinnen und Rechtsanwälten genügt regelmäßig die anwaltliche Versicherung der Bevollmächtigung. Die Auskunft geht an die vertretene Person oder an den nachgewiesenen Bevollmächtigten.

Darf ich ablehnen, wenn die Anfrage offensichtlich einen Prozess vorbereiten soll?

Nein. Auf die Motive kommt es nach der Rechtsprechung des Europäischen Gerichtshofs nicht an. Ein Ablehnungsgrund ergibt sich daraus nicht.

Werden meine Eingaben in diesem Werkzeug gespeichert oder übertragen?

Es findet keine Übertragung statt. Das Werkzeug läuft vollständig in Ihrem Browser. Eine Speicherung im lokalen Speicher Ihres Browsers erfolgt nur, wenn Sie den entsprechenden Schalter selbst aktivieren, und lässt sich jederzeit wieder vollständig löschen.

Wenn der Einzelfall schwierig wird

Das Werkzeug ordnet den Vorgang und gibt eine erste Orientierung. Sobald es um den Umfang einer konkreten Auskunft geht, um die Abwägung mit Rechten Dritter, um eine begründete Ablehnung oder um die Korrespondenz mit einer Aufsichtsbehörde, übernehmen wir. Als externer Datenschutzbeauftragter dauerhaft oder punktuell für eine einzelne Frage.

Anwaltliche Erstberatung ab 99 Euro. Telefon 030 / 895 66 160, E-Mail mail@wetzel.berlin.

Weitere Werkzeuge: Datenpannen-Check nach Art. 33 DSGVO und alle Werkzeuge für Unternehmen. Hintergrundinformationen finden Sie unter externer Datenschutzbeauftragter.

Hinweis: Die Angaben auf dieser Seite geben eine erste, unverbindliche Orientierung. Sie ersetzen keine anwaltliche Prüfung des Einzelfalls und begründen kein Mandatsverhältnis.