Recht auf Berichtigung nach Art. 16 DSGVO: Warum ein falscher Datensatz schnell zum echten Problem wird
Ein Kunde ruft an: Seine neue Anschrift habe er bereits vor Wochen mitgeteilt, trotzdem gehe die Rechnung weiterhin an die alte Adresse. Außerdem stehe im Kundenkonto noch immer der Vermerk „Zahlung offen“ – obwohl die Rechnung längst bezahlt wurde.
Der zuständige Mitarbeiter öffnet das CRM-System, ändert die Anschrift und hält die Sache für erledigt. Bei genauerem Hinsehen zeigt sich aber ein anderes Bild: Die alte Anschrift liegt auch im Warenwirtschaftssystem und im Newsletter-System vor. Ein externer Versanddienstleister hat sie ebenfalls erhalten. Und am nächsten Morgen überschreibt eine automatische Schnittstelle die gerade korrigierte Adresse wieder mit dem alten Wert aus dem ERP-System.
Aus einer scheinbar einfachen Datenkorrektur ist damit ein klassischer Fall des Rechts auf Berichtigung nach Art. 16 DSGVO geworden. Das Beispiel zeigt bereits, worum es in der Praxis tatsächlich geht: Art. 16 DSGVO verlangt nicht nur, einen Tippfehler in irgendeiner Datenbank zu korrigieren. Entscheidend ist, dass personenbezogene Daten für den jeweiligen Verarbeitungszweck richtig sind, eine erforderliche Korrektur ohne unnötige Verzögerung erfolgt und sichergestellt wird, dass falsche Daten nicht an anderer Stelle weiterverwendet oder erneut eingespielt werden. Gerade in kleineren und mittleren Unternehmen ist das Recht auf Berichtigung deshalb weniger eine juristische als eine organisatorische Herausforderung.
Der Ausgangspunkt: Personenbezogene Daten müssen richtig sein
Art. 16 DSGVO gibt der betroffenen Person das Recht, vom Verantwortlichen unverzüglich die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Außerdem kann sie verlangen, dass unvollständige Daten vervollständigt werden – ausdrücklich auch durch eine ergänzende Erklärung.
Dieses Recht steht nicht isoliert im Raum, sondern konkretisiert den Grundsatz der Richtigkeit aus Art. 5 Abs. 1 lit. d) DSGVO. Danach müssen personenbezogene Daten sachlich richtig und erforderlichenfalls aktuell sein, und der Verantwortliche muss angemessene Maßnahmen treffen, damit unrichtige Daten unverzüglich gelöscht oder berichtigt werden. Damit bestehen zwei Ebenen nebeneinander: Ein Unternehmen muss von sich aus auf die Richtigkeit seines Datenbestands achten – und die betroffene Person hat zusätzlich einen eigenen Anspruch, eine konkrete Berichtigung zu verlangen.
Was bedeutet eigentlich „unrichtig“?
In vielen Fällen ist das einfach festzustellen: Ein falsches Geburtsdatum oder ein Rechnungsstatus „Zahlung offen“, obwohl längst bezahlt wurde, sind schlicht unrichtig. Schwieriger wird es, wenn Informationen nur in einem bestimmten Zusammenhang richtig oder falsch sein können. Genau deshalb ist Art. 5 Abs. 1 lit. d) DSGVO zweckbezogen formuliert – entscheidend ist, ob die Daten im Hinblick auf den Zweck ihrer Verarbeitung richtig sind.
Ein Kunde wohnte 2024 in Köln und ist 2026 nach Düsseldorf gezogen. Im aktuellen Kundenstamm wäre die Kölner Anschrift als aktuelle Adresse falsch. Auf einer Rechnung aus dem Jahr 2024 bleibt dieselbe Anschrift dagegen richtig, weil sie die damaligen Verhältnisse dokumentiert. Das Recht auf Berichtigung ist deshalb kein Recht darauf, die Vergangenheit umzuschreiben. Bei aufbewahrungspflichtigen Geschäftsunterlagen gilt das erst recht: § 239 Abs. 3 HGB und § 146 Abs. 4 AO verbieten Veränderungen, die den ursprünglichen Inhalt unkenntlich machen. Aktuelle Stammdaten und historische Dokumentation müssen deshalb sauber getrennt werden.
Art. 16 DSGVO deckt darüber hinaus auch unvollständige Daten ab. Wird beispielsweise eine Abmahnung später zurückgenommen und bleibt dies in der Akte nicht erkennbar, kann eine ergänzende Erklärung erforderlich sein – oft sinnvoller, als einen ursprünglichen Eintrag zu löschen oder zu überschreiben.
Aktuelle Stammdaten müssen berichtigt werden, historische Dokumente dagegen ihre damaligen Verhältnisse korrekt wiedergeben. Entscheidend für die Richtigkeit personenbezogener Daten ist der jeweilige Verarbeitungszweck.
Nicht jede unangenehme Information ist „unrichtig“
Unsicherheit entsteht häufig, wenn eine betroffene Person keine Adresse korrigieren lassen will, sondern eine Bewertung oder einen Vermerk beanstandet – etwa eine Aussage des Vorgesetzten in der Personalakte. Auch subjektive Einschätzungen können personenbezogene Daten sein, das hat der EuGH in der Rechtssache Nowak (C-434/16) klargestellt. Gleichzeitig machte der Gerichtshof deutlich, dass das Berichtigungsrecht nicht dazu dient, jede unangenehme Bewertung durch eine günstigere zu ersetzen.
Zu prüfen ist deshalb genau, was gespeichert wurde: Ist der Vermerk eine korrekte Dokumentation einer tatsächlich gefallenen Äußerung, bleibt er richtig – auch wenn der Betroffene sie heute bedauert. Enthält er dagegen objektiv falsche Tatsachen (etwa nie versendete Mahnungen), muss er korrigiert werden. In Zweifelsfällen bietet sich eine ergänzende Dokumentation an, etwa: „Mitarbeiter bestreitet die Bewertung, Stellungnahme beigefügt.“
Berichtigung ist nicht dasselbe wie Löschung
Ein häufiger Fehler besteht darin, Berichtigung und Löschung zu vermischen. Art. 16 DSGVO betrifft die Situation, dass eine Information weiter verarbeitet werden soll, aber falsch oder unvollständig ist. Art. 17 DSGVO betrifft dagegen Fälle, in denen Daten gar nicht mehr verarbeitet werden sollen. Der EuGH hat diese Abgrenzung in der Rechtssache Proximus (C-129/21) verdeutlicht: Der Wunsch, ansonsten richtige Daten aus einem öffentlichen Verzeichnis entfernen zu lassen, war keine Berichtigung, sondern ein Löschungsfall. Als Faustformel gilt: „Falsch, aber weiterhin benötigt“ → Berichtigung prüfen. „Richtig, soll aber nicht mehr verarbeitet werden“ → Löschung oder Widerspruch prüfen.
Form, Frist und Nachweise
Ein Berichtigungsverlangen braucht keine bestimmte Form. Auch eine einfache Nachricht wie „Ich wohne seit Februar in der Hauptstraße 8, bitte ändern“ ist ein Antrag – unabhängig davon, ob dabei „Art. 16 DSGVO“ erwähnt wird oder das Anliegen bei einem Mitarbeiter landet, der mit Datenschutz eigentlich nichts zu tun hat. Unternehmen sollten deshalb sicherstellen, dass ein Berichtigungsverlangen auch außerhalb des zentralen Datenschutzpostfachs erkannt wird.
Art. 16 DSGVO verlangt eine unverzügliche Korrektur. Daneben gilt die allgemeine Monatsfrist aus Art. 12 DSGVO für die Rückmeldung an die betroffene Person. Diese Monatsfrist ist aber keine reguläre Wartefrist – eine in zwei Minuten korrigierbare Telefonnummer darf nicht vier Wochen liegen bleiben. Besondere Eile ist geboten, wenn falsche Daten erhebliche Folgen haben können, etwa bei einer falschen Bankverbindung vor dem Gehaltslauf oder einem unrichtigen Zahlungsvermerk vor einer Bonitätsentscheidung.
Das Unternehmen muss aber auch nicht jede Behauptung ungeprüft übernehmen. Es darf und muss prüfen, ob die beanstandeten Daten tatsächlich unrichtig sind, und darf dafür erforderlichenfalls geeignete Nachweise verlangen. Der EuGH hat dies in der Rechtssache Deldits (C-247/23, Urteil vom 13. März 2025) ausdrücklich bestätigt, gleichzeitig aber klargestellt, dass keine unverhältnismäßigen Anforderungen entstehen dürfen. Für eine einfache Adressänderung über einen bereits authentifizierten Kundenaccount reicht daher regelmäßig die Mitteilung selbst – eine routinemäßige Ausweiskopie wäre unverhältnismäßig. Bei sensibleren Daten, etwa einer Bankverbindung, ist eine stärkere Absicherung dagegen sinnvoll. Zusätzliche Identitätsprüfungen erlaubt Art. 12 Abs. 6 DSGVO ausdrücklich nur bei begründeten Zweifeln und soweit erforderlich – kein Automatismus, sondern eine Frage der Verhältnismäßigkeit.
Ist zunächst unklar, wer recht hat – etwa weil ein Kunde eine Zahlung behauptet, die in der Buchhaltung nicht auffindbar ist – hilft Art. 18 Abs. 1 lit. a) DSGVO: Die betroffene Person kann für die Dauer der Prüfung die Einschränkung der Verarbeitung verlangen. Der strittige Datensatz bleibt gespeichert, darf aber vorübergehend nicht wie bisher genutzt werden, etwa nicht für eine weitere Mahnung.
Der eigentliche Aufwand: alle Systeme und Empfänger erreichen
Der größte Teil der Arbeit beginnt oft erst, nachdem feststeht, dass eine Information falsch ist. In vielen Unternehmen liegen dieselben Daten in mehreren Systemen – CRM, ERP, Buchhaltung, Newsletter-System, Kundenportal, bei externen Dienstleistern. Eine Korrektur nur dort, wo der Fehler entdeckt wurde, greift deshalb oft zu kurz, insbesondere wenn automatisierte Schnittstellen die Korrektur über Nacht wieder überschreiben. Sinnvoll ist es daher, für zentrale Datenarten festzulegen, welches System führend ist und wie Änderungen an angebundene Systeme weitergegeben werden.
Häufig übersehen wird zudem Art. 19 DSGVO: Wurden fehlerhafte Daten bereits an Empfänger weitergegeben – etwa an einen Lohnabrechner, Versanddienstleister oder Cloudanbieter – muss der Verantwortliche grundsätzlich jedem Empfänger die Berichtigung mitteilen, es sei denn, dies ist unmöglich oder unverhältnismäßig aufwendig. „Wir haben es im CRM geändert“ genügt also nicht, wenn extern bereits fehlerhafte Daten im Umlauf sind.
Eine Berichtigung ist erst vollständig, wenn falsche Daten nicht nur im führenden System, sondern auch in angebundenen Anwendungen und bei externen Empfängern korrigiert werden. Schnittstellen müssen so geprüft werden, dass veraltete Werte nicht erneut zurückgespielt werden.
Was bei Verstößen droht
Verstöße gegen Art. 16 DSGVO sind keine bloße Formalie. Aufsichtsbehörden können nach Art. 58 DSGVO unter anderem Verwarnungen aussprechen und Verantwortliche zur Anpassung ihrer Verarbeitung anweisen. Verstöße gegen die Betroffenenrechte aus Art. 12 bis 22 DSGVO fallen zudem unter den höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO – theoretisch bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Das bedeutet selbstverständlich nicht, dass ein falsch geschriebener Straßenname zu einem Millionenbußgeld führt. Die konkrete Sanktion hängt immer vom Einzelfall ab. Die Einordnung zeigt aber, welchen Stellenwert der Gesetzgeber den Betroffenenrechten beimisst.
Ein praxistauglicher Kurzprozess
Für die Praxis lohnt sich ein fester, nicht zwingend komplizierter Ablauf:
Erkennen: Hinweise wie „Diese Adresse ist falsch“ oder „Bitte ändern Sie meine Daten“ als möglichen Berichtigungsantrag behandeln – unabhängig davon, wo im Unternehmen sie eingehen.
Erfassen: Eingangsdatum, betroffene Person, verlangte Änderung und Zuständigkeit dokumentieren, um die Frist zu überwachen.
Identität prüfen – nur so weit wie durch begründete Zweifel tatsächlich nötig.
Klären, ob die Information wirklich unrichtig, nur veraltet, historisch weiter richtig oder unvollständig ist – und ob tatsächlich eine Berichtigung oder in Wahrheit eine Löschung gewollt ist.
Nachweise nur soweit erforderlich anfordern.
Einschränken, wenn die Prüfung Zeit braucht und die Daten unmittelbare Folgen haben können.
Alle betroffenen Systeme ermitteln und die führende Datenquelle zuerst korrigieren.
Schnittstellen prüfen, damit die Korrektur nicht automatisiert wieder überschrieben wird.
Empfänger nach Art. 19 DSGVO informieren, soweit die fehlerhaften Daten bereits weitergegeben wurden.
Die betroffene Person informieren und den Vorgang dokumentieren.
Zusammenfassung
Das Recht auf Berichtigung wirkt auf den ersten Blick unkompliziert – und wird gerade deshalb in seiner praktischen Reichweite oft unterschätzt. Der zentrale Gedanke ist einfach: Personenbezogene Daten sollen die Realität für den jeweiligen Verarbeitungszweck zutreffend abbilden. Für die Praxis lassen sich daraus vier Kernfragen ableiten: Ist die Information für den konkreten Zweck tatsächlich unrichtig oder unvollständig? Wo wird sie überall verarbeitet? Wer hat die falsche Information bereits erhalten? Und wie lässt sich verhindern, dass der Fehler erneut entsteht? Wer diese Fragen strukturiert beantworten kann, hat das Recht auf Berichtigung bereits weitgehend im Griff – der Schlüssel liegt weniger in komplizierter Juristerei als in nachvollziehbaren Datenflüssen, klaren Zuständigkeiten und einem funktionierenden Prozess für Betroffenenanfragen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
