Betroffenenanfragen müssen innerhalb von einem Monat beantwortet werden. Inhalt, Fristen und Prozess sind gesetzlich geregelt – Fehler kosten Zeit, Geld und Vertrauen.
Art. 12 DSGVO gibt Ihnen einen Monat Zeit – die Frist läuft ab Eingang der Anfrage, nicht ab Prüfung der Identität. Wer zu spät antwortet oder inhaltlich unvollständig bleibt, riskiert Bußgelder und Beschwerden bei der Aufsichtsbehörde.
Was unter Betroffenenanfragen fällt
Was Sie vor der Bearbeitung klären müssen
- Identität des Antragstellers verifizieren – nur soviel Daten abfragen, wie nötig (kein unverhältnismäßiger Nachweis verlangen)
- Art des Rechts bestimmen: Auskunft, Löschung, Berichtigung, Widerspruch oder Kombination
- Liegt eine Ausnahme vor? Z. B. gesetzliche Aufbewahrungspflicht bei Löschanfragen
- Alle betroffenen Systeme identifizieren: CRM, ERP, Buchhaltung, E-Mail-Archiv, Backups
- Zuständigkeit intern klären: Wer bearbeitet, wer zeichnet ab
- Eingang und Fristlauf dokumentieren
Schritt-für-Schritt: Betroffenenanfrage bearbeiten
-
Eingang bestätigen und Frist notieren
Sobald eine Anfrage eingeht – egal auf welchem Kanal – schicken Sie eine kurze Eingangsbestätigung. Notieren Sie das genaue Eingangsdatum. Die Monatsfrist beginnt ab diesem Tag, nicht ab Ihrer internen Prüfung.
-
Identität prüfen
Sie dürfen die Identität des Antragstellers prüfen, aber nicht übermäßig. Bei Zweifeln kann ein Ausweisdokument (geschwärzt bis auf Name und Geburtsdatum) oder eine gleichwertige Verifikation verlangt werden. Unverhältnismäßige Anforderungen können selbst als DSGVO-Verstoß gewertet werden.
-
Alle relevanten Daten recherchieren
Prüfen Sie alle Systeme, in denen personenbezogene Daten des Antragstellers verarbeitet werden könnten: Kundendatenbank, CRM, Newsletter-Tool, Buchhaltungssystem, Bewerberdatenbank, Backups, E-Mail-Archiv. Fehlende oder vergessene Systeme sind das häufigste Problem bei Auskunftsanfragen.
-
Antwort zusammenstellen
Bei Auskunftsanfragen (Art. 15) müssen Sie mitteilen: welche Kategorien von Daten verarbeitet werden, zu welchem Zweck, wie lange, wer Empfänger ist, ob Drittlandübermittlungen stattfinden und ob automatisierte Entscheidungen eingesetzt werden. Die Kopie der Daten selbst muss mitgeliefert werden.
-
Antwort fristgerecht versenden
Die Antwort muss spätestens nach einem Monat beim Betroffenen eingehen – nicht nur abgesendet sein. Wenn Sie die Frist um bis zu zwei weitere Monate verlängern, müssen Sie dies dem Betroffenen vor Ablauf des ersten Monats mitteilen und begründen (Art. 12 Abs. 3 DSGVO).
-
Dokumentation abschließen
Halten Sie intern fest: Eingang, Art der Anfrage, durchsuchte Systeme, Antwort-Datum und Inhalt der Antwort. Diese Dokumentation ist Ihr Nachweis bei einer behördlichen Prüfung. Bewahren Sie sie mindestens 3 Jahre auf.
-
Löschung oder Berichtigung umsetzen
Bei Lösch- oder Berichtigungsanfragen ist die Bearbeitung damit nicht abgeschlossen, dass Sie antworten – Sie müssen die Maßnahme auch tatsächlich durchführen und prüfen, ob Dritte informiert werden müssen, denen Sie die Daten zuvor übermittelt haben (Art. 19 DSGVO).
Wenn die Anfrage missbräuchlich erscheint
Haben Sie einen funktionierenden Prozess für Betroffenenanfragen? INREMA hilft Ihnen, eine rechtssichere und effiziente Bearbeitungsroutine aufzubauen.
Jetzt beraten lassenHäufige Fragen
Muss ich auch auf Anfragen per Social Media reagieren?
Darf ich eine Gebühr für die Auskunft verlangen?
Was passiert, wenn ich die Anfrage nicht vollständig beantworte?
Muss ich Daten aus Backups ebenfalls löschen?
War dieser Artikel hilfreich?