Die DSGVO gibt jeder Person, deren Daten Sie verarbeiten, Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie Schutz vor rein automatisierten Entscheidungen (Art. 12 bis 22 DSGVO). Für Ihr Unternehmen heißt das: Sie müssen Anträge erkennen, unverzüglich und spätestens innerhalb eines Monats beantworten, grundsätzlich kostenlos, und jeden Schritt dokumentieren.
Die Betroffenenrechte im Überblick
| Recht | Fundstelle | Was Sie tun müssen |
|---|---|---|
| Information | Art. 13, 14 | bei der Erhebung informieren, ohne Antrag |
| Auskunft | Art. 15 | mitteilen, welche Daten Sie verarbeiten, und eine Kopie bereitstellen |
| Berichtigung | Art. 16 | falsche Daten korrigieren, unvollständige ergänzen |
| Löschung | Art. 17 | Daten löschen, wenn ein Löschgrund vorliegt und keine Ausnahme greift |
| Einschränkung | Art. 18 | Daten sperren statt nutzen, etwa während einer Prüfung |
| Mitteilung an Empfänger | Art. 19 | Empfänger über Berichtigung, Löschung oder Einschränkung informieren |
| Datenübertragbarkeit | Art. 20 | bereitgestellte Daten maschinenlesbar herausgeben |
| Widerspruch | Art. 21 | Verarbeitung aus berechtigtem Interesse prüfen und bei Werbung sofort beenden |
| Automatisierte Entscheidungen | Art. 22 | auf Wunsch eine menschliche Prüfung ermöglichen |
Hinzu kommen das Recht, eine Einwilligung zu widerrufen (Art. 7 Abs. 3 DSGVO), und das Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO).
Welche Frist gilt?
Sie beantworten einen Antrag unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Bei komplexen oder vielen Anträgen können Sie um zwei weitere Monate verlängern. Das müssen Sie der Person innerhalb des ersten Monats mitteilen und begründen. Die Frist läuft auch in Urlaubszeiten und wenn der Antrag bei einer falschen Stelle im Unternehmen eingeht. Werden Sie nicht tätig, teilen Sie das innerhalb eines Monats mit Gründen mit und weisen auf Beschwerde und Klage hin (Art. 12 Abs. 4 DSGVO).
Form und Identität
Ein Antrag braucht keine bestimmte Form und kein bestimmtes Wort. Eine E-Mail, ein Brief, ein Anruf oder eine Nachricht über das Kontaktformular genügen. Kommt ein Antrag elektronisch, antworten Sie in der Regel elektronisch.
Haben Sie begründete Zweifel an der Identität, dürfen Sie zusätzliche Angaben verlangen (Art. 12 Abs. 6 DSGVO). Fragen Sie nur so viel ab wie nötig. Bei einem Kunden reicht oft der Abgleich mit Kundennummer und hinterlegter E-Mail-Adresse. Eine Ausweiskopie ist nur in Ausnahmefällen angemessen.
Kosten und Ablehnung
Die Bearbeitung ist unentgeltlich (Art. 12 Abs. 5 DSGVO). Nur bei offenkundig unbegründeten oder exzessiven Anträgen, besonders bei häufiger Wiederholung, dürfen Sie ein angemessenes Entgelt verlangen oder ablehnen. Die Beweislast liegt bei Ihnen. Weitere Grenzen ergeben sich aus den einzelnen Rechten, etwa gesetzliche Aufbewahrungspflichten bei der Löschung, und aus den §§ 32 bis 37 BDSG.
So bearbeiten Sie Betroffenenanfragen
- Antrag erkennen und mit Eingangsdatum erfassen.
- Frist notieren und an den zuständigen Bearbeiter geben.
- Identität prüfen, wenn Zweifel bestehen.
- Daten in allen Systemen suchen: CRM, E-Mail, Buchhaltung, Personalakte, Dienstleister.
- Rechtslage prüfen: Welches Recht wird geltend gemacht, gibt es Ausnahmen?
- Antworten, verständlich und vollständig.
- Empfänger nach Art. 19 DSGVO informieren, wenn nötig.
- Vorgang dokumentieren.
Dokumentation
Halten Sie Eingang, Identitätsprüfung, Prüfergebnis, Antwort und Datum fest. Das ist Ihr Nachweis nach Art. 5 Abs. 2 DSGVO, wenn sich die Person später bei der Aufsichtsbehörde beschwert. Bewahren Sie die Unterlagen nur so lange auf, wie Sie sie als Nachweis brauchen.
Typische Fehler
- Anträge bleiben im allgemeinen Postfach liegen, die Frist läuft ab.
- Der Kundenservice erkennt den Antrag nicht, weil das Wort "Auskunft" fehlt.
- Es werden unnötig Ausweiskopien verlangt.
- Nur das CRM wird durchsucht, E-Mails und Dienstleister fehlen.
- Nach einer Löschung oder Berichtigung werden die Empfänger nicht informiert.
- Eine Ablehnung wird ohne Begründung und ohne Hinweis auf das Beschwerderecht verschickt.
Was droht bei Fehlern?
Verstöße gegen die Betroffenenrechte gehören zur höheren Bußgeldstufe mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. b DSGVO). Hinzu kommen Beschwerden, Anordnungen der Behörde und Schadensersatzforderungen nach Art. 82 DSGVO.
Die Details zu den häufigsten Anträgen finden Sie in den Artikeln zum Auskunftsersuchen nach Art. 15 DSGVO und zum Recht auf Löschung. Datenkodex unterstützt als externer Datenschutzbeauftragter auch bei der Bearbeitung von Betroffenenanfragen.