Art. 12 DSGVO ist die zentrale "Metanorm" für alle Betroffenenrechte und regelt einheitlich die Fristen für die Bearbeitung von Anfragen.
Die Grundfrist: ein Monat (Art. 12 Abs. 3 DSGVO)
Der Verantwortliche muss Anfragen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang beantworten. Die Frist beginnt mit Eingang des Antrags - nicht erst mit der Identitätsprüfung.
Fristverlängerung: bis zu drei Monate insgesamt
Bei besonders komplexen Anfragen oder bei einer Vielzahl gleichzeitiger Anfragen kann die Frist um maximal zwei weitere Monate verlängert werden. Voraußetzung: Der Verantwortliche muss die betroffene Person innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren.
Was passiert bei Untätigkeit? (Art. 12 Abs. 4 DSGVO)
Wird der Verantwortliche nicht tätig, muss er die betroffene Person innerhalb eines Monats über die Gründe informieren und auf das Beschwerderecht bei der Aufsichtsbehörde sowie den gerichtlichen Rechtsbehelf hinweisen.
Sonderfälle:
- Identitätszweifel (Art. 12 Abs. 6 DSGVO): Bei begründeten Zweifeln an der Identität darf der Verantwortliche zusätzliche Informationen anfordern. Die Frist läuft aber bereits.
- Löschung (Art. 17 DSGVO): Die allgemeine Monatsfrist des Art. 12 gilt, sofern nicht eine sofortige Löschungspflicht besteht.
- Meldepflicht bei Datenpanne (Art. 33 DSGVO): Hier gilt eine andere, kürzere Frist - 72 Stunden an die Aufsichtsbehörde (dies ist kein Betroffenenrecht im engeren Sinne, sondern eine Pflicht des Verantwortlichen).
Handlungsempfehlung für Betroffene: Dokumentieren Sie Ihre Anfrage (Datum, Inhalt, Zustellungsnachweis). Erhalten Sie innerhalb eines Monats keine Antwort, weisen Sie den Verantwortlichen auf die Frist hin und drohen Sie eine Beschwerde bei der Aufsichtsbehörde an (Art. 77 DSGVO).
Handlungsempfehlung für Unternehmen: Etablieren Sie klare Prozesse zur Bearbeitung von Betroffenenanfragen. Die Einhaltung der Ein-Monats-Frist ist in der Praxis oft die größte Herausforderung (DSK-Kurzpapier Nr. 6).